如何在nginx中动态加载lua脚本

sulongchao · 2014-11-21T17:59:34+00:00

>如果是 perl 崩溃了的话，建议从最新的 perl 源码&#x...

如何在nginx中动态加载lua脚本

sulongchao

春哥，

我看了下你写的关于nginx的lua模块说明，在第一次请求的时候缓存起来了。

the Lua module is actually loaded by the first Nginx request handler and is cached by the require() built-in in the package.loaded table for later reference, and the module()builtin used by some Lua modules has the side effect of setting a global variable to the loaded module table。

如何做到动态加载lua脚本呢，因为可能后续可能会增加lua脚本，每次都重启nginx感觉不平滑。

smallfish.xy

可以在开发/测试环境下关闭lua_code_cache (https://github.com/openresty/lua-nginx-module#lua_code_cache)

生产环境下还是打开吧（默认就是on），再说了，难道你生产环境下不停的会更新代码么~

smallfish http://chenxiaoyu.org

2014-11-21 17:59 GMT+08:00 <sulo...@gmail.com>:

春哥，

我看了下你写的关于nginx的lua模块说明，在第一次请求的时候缓存起来了。
the Lua module is actually loaded by the first Nginx request handler and is cached by the require() built-in in the package.loaded table for later reference, and the module()builtin used by some Lua modules has the side effect of setting a global variable to the loaded module table。
如何做到动态加载lua脚本呢，因为可能后续可能会增加lua脚本，每次都重启nginx感觉不平滑。

--

jie123108

>如何做到动态加载lua脚本呢，因为可能后续可能会增加lua脚本，每次都重启nginx感觉不平滑。

ngx_lua是支持 ./nginx -s reload 的，该命令是平滑的，不会中断服务的吧。

jie123108

agentzh

Hello!

2014-11-21 4:42 GMT-08:00 jie123108:
> ngx_lua是支持 ./nginx -s reload 的，该命令是平滑的，不会中断服务的吧。
>

-s reload 这种用法本身并不推荐，因为有额外开销同时可能会引入问题（nginx 官方引入 -s 命令行选项主要是为了 Windows
这样的不支持 signal 的环境）。建议直接向 master 进程发 HUP 信息。

Regards,
-agentzh

agentzh

Hello!

2014-11-21 1:59 GMT-08:00  sulongchao:
>       如何做到动态加载lua脚本呢，因为可能后续可能会增加lua脚本，每次都重启nginx感觉不平滑。
>

有多种玩法：

1. 使用 HUP reload 或者 binary upgrade 方式动态加载 nginx 配置或重启 nginx。这不会导致中间有请求被 drop 掉。

2. 当 content_by_lua_file 里使用 nginx 变量时，是可以动态加载新的 Lua 脚本的，不过要记得对 nginx
变量的值进行基本的合法性验证，以免被注入攻击。

比如

    location ~ '^/lua/(\w+(?:\/\w+)*)$' {
        content_by_lua_file $1;
    }

3. 自己从外部数据源（包括文件系统）加载 Lua 源码或字节码，然后使用 loadstring() “eval”进 Lua VM.
可以通过 package.loaded 自己来做缓存，毕竟频繁地加载源码和调用 loadstring()，以及频繁地 JIT
编译还是很昂贵的（类似 lua_code_cache off 的情形）。比如在 CloudFlare 我们从 modsecurity
规则编译出来的 Lua 代码就是通过 KyotoTycoon 动态分发到全球网络中的每一个 nginx 服务器的。无需 reload 或者
binary upgrade.

可以根据自己的实际应用场景进行选择。

Regards,
-agentzh

hemono

请问agentzh：

第三种动态载入方法具体是如何实现的？怎么eval一个table进入模块系统？

因为使用 require 必须依赖文件系统，是不是需要抛弃系统的require，自定义一个require方法，手动维护package.loaded？

为了实现简单，我先使用虚拟文件系统，比如redis-fs的方法先凑活一下。

在 2014年11月22日上午8:55，Yichun Zhang (agentzh) <age...@gmail.com>写道：

Hello!

2014-11-21 1:59 GMT-08:00 sulongchao:
> 如何做到动态加载lua脚本呢，因为可能后续可能会增加lua脚本，每次都重启nginx感觉不平滑。
>

有多种玩法：

1. 使用 HUP reload 或者 binary upgrade 方式动态加载 nginx 配置或重启 nginx。这不会导致中间有请求被 drop 掉。

2. 当 content_by_lua_file 里使用 nginx 变量时，是可以动态加载新的 Lua 脚本的，不过要记得对 nginx
变量的值进行基本的合法性验证，以免被注入攻击。

比如

location ~ '^/lua/(\w+(?:\/\w+)*)$' {
content_by_lua_file $1;
}

3. 自己从外部数据源（包括文件系统）加载 Lua 源码或字节码，然后使用 loadstring() “eval”进 Lua VM.
可以通过 package.loaded 自己来做缓存，毕竟频繁地加载源码和调用 loadstring()，以及频繁地 JIT
编译还是很昂贵的（类似 lua_code_cache off 的情形）。比如在 CloudFlare 我们从 modsecurity
规则编译出来的 Lua 代码就是通过 KyotoTycoon 动态分发到全球网络中的每一个 nginx 服务器的。无需 reload 或者
binary upgrade.

可以根据自己的实际应用场景进行选择。

Regards,
-agentzh

--

hemono

关于第三种方法：

自定义载入函数插入到 package.loaders表，可以改变require的行为

http://pgl.yoyo.org/luai/i/package.loaders

package.loaders

A table used by require to control how to load modules.

Each entry in this table is a searcher function. When looking for a module, require calls each of these searchers in ascending order, with the module name (the argument given to require) as its sole parameter. The function can return another function (the module loader) or a string explaining why it did not find that module (or nil if it has nothing to say). Lua initializes this table with four functions.

一个例子：

http://lua-users.org/lists/lua-l/2011-04/msg00108.html

-- this assumes a get_source_from_server function that you have to define
local function my_searcher(modulename)
  -- Find source
  local src = ""
  if not src then
    -- Return a partial message that require will aggregate
    return "\n\tno module '"..modulename.."' on the server"
  else
    -- Compile and return the module
    return assert(loadstring(src))
  end
end

table.insert(package.loaders, my_searcher)

[1] http://lua-users.org/wiki/LuaModulesLoader
[2] http://lua-users.org/wiki/BinaryModulesLoader
[3] http://lua-users.org/wiki/HashedModulesLoader

在 2014年11月25日下午5:27，张伟 <he...@gmail.com>写道：

请问agentzh：

第三种动态载入方法具体是如何实现的？怎么eval一个table进入模块系统？

因为使用 require 必须依赖文件系统，是不是需要抛弃系统的require，自定义一个require方法，手动维护package.loaded？

为了实现简单，我先使用虚拟文件系统，比如redis-fs的方法先凑活一下。

在 2014年11月22日上午8:55，Yichun Zhang (agentzh) <age...@gmail.com>写道：

Hello!

2014-11-21 1:59 GMT-08:00 sulongchao:
> 如何做到动态加载lua脚本呢，因为可能后续可能会增加lua脚本，每次都重启nginx感觉不平滑。
>

有多种玩法：

1. 使用 HUP reload 或者 binary upgrade 方式动态加载 nginx 配置或重启 nginx。这不会导致中间有请求被 drop 掉。

2. 当 content_by_lua_file 里使用 nginx 变量时，是可以动态加载新的 Lua 脚本的，不过要记得对 nginx
变量的值进行基本的合法性验证，以免被注入攻击。

比如

location ~ '^/lua/(\w+(?:\/\w+)*)$' {
content_by_lua_file $1;
}

3. 自己从外部数据源（包括文件系统）加载 Lua 源码或字节码，然后使用 loadstring() “eval”进 Lua VM.
可以通过 package.loaded 自己来做缓存，毕竟频繁地加载源码和调用 loadstring()，以及频繁地 JIT
编译还是很昂贵的（类似 lua_code_cache off 的情形）。比如在 CloudFlare 我们从 modsecurity
规则编译出来的 Lua 代码就是通过 KyotoTycoon 动态分发到全球网络中的每一个 nginx 服务器的。无需 reload 或者
binary upgrade.

可以根据自己的实际应用场景进行选择。

Regards,
-agentzh

--

agentzh

Hello!

2014-11-25 1:27 GMT-08:00 张伟:
> 第三种动态载入方法具体是如何实现的？怎么eval一个table进入模块系统？
>
> 因为使用 require 必须依赖文件系统，是不是需要抛弃系统的require，自定义一个require方法，手动维护package.loaded？
>

并不一定需要依赖文件系统。你可以自己直接操作 package.loaded，也可以使用 package.loaders
这个表注册自定义的模块 loader，细节见 Lua 5.1 对应的官方文档：

http://www.lua.org/manual/5.1/manual.html#pdf-require

在 CloudFlare，我们是使用非阻塞的 lua-resty-memcached 库动态地从 KyotoTycoon 读取 Lua 源然后加载之。

> 为了实现简单，我先使用虚拟文件系统，比如redis-fs的方法先凑活一下。

尽量不要使用文件系统，因为会阻塞 nginx 事件循环。

Regards,
-agentzh

agentzh

Hello!

2014-11-25 2:19 GMT-08:00 张伟:
> 自定义载入函数插入到 package.loaders表，可以改变require的行为
>
> http://pgl.yoyo.org/luai/i/package.loaders
>
> package.loaders
>

不过，值得提醒的是，因为 require 这个内建函数在标准 Lua 5.1 解释器和 LuaJIT 2 中都被实现为 C
函数，所以你在自己的 loader 里可能并不能调用 ngx_lua 那些涉及非阻塞 IO 的 Lua 函数。因为这些 Lua 函数需要
yield 当前的 Lua 协程，而 yield 是无法跨越 Lua 调用栈上的 C 函数帧的。细节见

https://github.com/openresty/lua-nginx-module#lua-coroutine-yieldingresuming

所以直接操纵 package.loaded 是最简单和最有效的做法。我们在 CloudFlare 的 Lua WAF 系统中就是这么做的。

不过，值得提醒的是，从 package.loaded 解注册的 Lua 模块会被 GC 掉。而那些使用下列某一个或某几个特性的 Lua
模块是不能被安全的解注册的：

1. 使用 FFI 加载了外部动态库，
2. 使用 FFI 定义了新的 C 类型，
3. 使用 FFI 定义了新的 C 函数原型。

这样的 Lua 模块应避免手动从 package.loaded
卸载。当然，如果你永不手工卸载这样的模块，只是动态加载的话，倒也无所谓了。但在我们的 Lua WAF 的场景，已动态加载的一些 Lua
模块还需要被热替换掉（但不重新创建 Lua VM）。

Regards,
-agentzh

sulongchao

很感谢春哥的回复，

春哥是否遇到这样一个场景，就是构建一个沙盒环境，这个环境限制用户的api调用，比如一些io，execute操作，这样的话，用户可以上传自己的lua脚本。

在 2014年11月26日星期三UTC+8上午4时38分07秒，agentzh写道：

Hello!

2014-11-25 2:19 GMT-08:00 张伟:
> 自定义载入函数插入到 package.loaders表，可以改变require的行为
>
> http://pgl.yoyo.org/luai/i/package.loaders
>
> package.loaders
>

不过，值得提醒的是，因为 require 这个内建函数在标准 Lua 5.1 解释器和 LuaJIT 2 中都被实现为 C
函数，所以你在自己的 loader 里可能并不能调用 ngx_lua 那些涉及非阻塞 IO 的 Lua 函数。因为这些 Lua 函数需要
yield 当前的 Lua 协程，而 yield 是无法跨越 Lua 调用栈上的 C 函数帧的。细节见

https://github.com/openresty/lua-nginx-module#lua-coroutine-yieldingresuming

所以直接操纵 package.loaded 是最简单和最有效的做法。我们在 CloudFlare 的 Lua WAF 系统中就是这么做的。

不过，值得提醒的是，从 package.loaded 解注册的 Lua 模块会被 GC 掉。而那些使用下列某一个或某几个特性的 Lua
模块是不能被安全的解注册的：

1. 使用 FFI 加载了外部动态库，
2. 使用 FFI 定义了新的 C 类型，
3. 使用 FFI 定义了新的 C 函数原型。

这样的 Lua 模块应避免手动从 package.loaded
卸载。当然，如果你永不手工卸载这样的模块，只是动态加载的话，倒也无所谓了。但在我们的 Lua WAF 的场景，已动态加载的一些 Lua
模块还需要被热替换掉（但不重新创建 Lua VM）。

Regards,
-agentzh

shibing.sw

春哥！

我这边也有一个类似的需要从redis动态读取lua代码到nginx的需求，我使用了修改package.loaders表的方法，在该表的最后插入了一个自定义的searcher，该search会用

lua-resty-redis模块到redis里面读取lua代码然后load进来，代码大致如下：

_M.load = function (module_name) 
    local redis = require "resty.redis"
    local red = redis:new()
    red:set_timeout(1000)
    local ok, err = red:connect("127.0.0.1", 6379)
    if not ok then 
        return "failed to connect: " .. err
    end

    local code, err = red:get(module_name)
    if not code then
        return "faild to get " .. module_name .. ": " .. err
    end
    if code == ngx.null then
       return module_name .. " not found"
    end
    local m, err = loadstring(code)
    if m == nil then
        return "faild to compile " .. module_name .. ": " .. err 
    end
    return m
end

代码逻辑很简单，但是运行的时候报下面的错误：

[error] 16031#0: *11 lua entry thread aborted: runtime error: attempt to yield across C-call boundary
 stack traceback:
                                                                                                                           coroutine 0:
                                                                                                                                 [C]: in function 'require'

我查了一下资料，应该是因为require是C实现的，它里面调用lua代码的时候不能yield。

而你在上面说：

> 在 CloudFlare，我们是使用非阻塞的 lua-resty-memcached 库动态地从 KyotoTycoon 读取 Lua 源然后加载之。

那么我感觉你用 lua-resty-memcached 也会遇到相同的问题，因此想请教一下你是怎么解决的？或者说是怎么优雅的从 KyotoTycoon 读取到代码然后加载的？

On Wednesday, November 26, 2014 at 4:28:41 AM UTC+8, agentzh wrote:

Hello!

2014-11-25 1:27 GMT-08:00 张伟:
> 第三种动态载入方法具体是如何实现的？怎么eval一个table进入模块系统？
>
> 因为使用 require 必须依赖文件系统，是不是需要抛弃系统的require，自定义一个require方法，手动维护package.loaded？
>

并不一定需要依赖文件系统。你可以自己直接操作 package.loaded，也可以使用 package.loaders
这个表注册自定义的模块 loader，细节见 Lua 5.1 对应的官方文档：

http://www.lua.org/manual/5.1/manual.html#pdf-require

在 CloudFlare，我们是使用非阻塞的 lua-resty-memcached 库动态地从 KyotoTycoon 读取 Lua 源然后加载之。

> 为了实现简单，我先使用虚拟文件系统，比如redis-fs的方法先凑活一下。

尽量不要使用文件系统，因为会阻塞 nginx 事件循环。

Regards,
-agentzh

hemono

不能用package.loaders，直接操作package.loaded表

package.loaded[remote.mod] = loadstring(get_remote_code('remote.mod'))

0、一定要使用module加载，这样才能在使用cache的同时进行热更新

1、在执行你的code前

预处理下代码，看需要require哪些module？

-- main.lua

require remote.x

require remote.y

main()

2、直接操作package.loaded表

把module加载进package.loaded

function get_remote_code(mod)

--get code from redis/memcache

end

package.loaded[x.mod] = loadstring(get_remote_code('remote.x'))

package.loaded[y.mod] = loadstring(get_remote_code('remote.y'))

3、执行你的code

在 2016年10月19日下午6:47，Bing Shi <shib...@gmail.com>写道：

春哥！

我这边也有一个类似的需要从redis动态读取lua代码到nginx的需求，我使用了修改package.loaders表的方法，在该表的最后插入了一个自定义的searcher，该search会用
lua-resty-redis模块到redis里面读取lua代码然后load进来，代码大致如下：

_M.load = function (module_name) local redis = require "resty.redis" local red = redis:new() red:set_timeout(1000) local ok, err = red:connect("127.0.0.1", 6379) if not ok then return "failed to connect: " .. err end local code, err = red:get(module_name) if not code then return "faild to get " .. module_name .. ": " .. err end if code == ngx.null then return module_name .. " not found" end local m, err = loadstring(code) if m == nil then return "faild to compile " .. module_name .. ": " .. err end return m end

代码逻辑很简单，但是运行的时候报下面的错误：
[error] 16031#0: *11 lua entry thread aborted: runtime error: attempt to yield across C-call boundary stack traceback: coroutine 0: [C]: in function 'require'

我查了一下资料，应该是因为require是C实现的，它里面调用lua代码的时候不能yield。

而你在上面说：
> 在 CloudFlare，我们是使用非阻塞的 lua-resty-memcached 库动态地从 KyotoTycoon 读取 Lua 源然后加载之。

那么我感觉你用 lua-resty-memcached 也会遇到相同的问题，因此想请教一下你是怎么解决的？或者说是怎么优雅的从 KyotoTycoon 读取到代码然后加载的？

On Wednesday, November 26, 2014 at 4:28:41 AM UTC+8, agentzh wrote:
Hello!

2014-11-25 1:27 GMT-08:00 张伟:
> 第三种动态载入方法具体是如何实现的？怎么eval一个table进入模块系统？
>
> 因为使用 require 必须依赖文件系统，是不是需要抛弃系统的require，自定义一个require方法，手动维护package.loaded？
>

并不一定需要依赖文件系统。你可以自己直接操作 package.loaded，也可以使用 package.loaders
这个表注册自定义的模块 loader，细节见 Lua 5.1 对应的官方文档：

http://www.lua.org/manual/5.1/manual.html#pdf-require

在 CloudFlare，我们是使用非阻塞的 lua-resty-memcached 库动态地从 KyotoTycoon 读取 Lua 源然后加载之。

> 为了实现简单，我先使用虚拟文件系统，比如redis-fs的方法先凑活一下。

尽量不要使用文件系统，因为会阻塞 nginx 事件循环。

Regards,
-agentzh

--

shibing.sw

恩，后来我改了一下，直接操作package.loaded表了，谢谢你了。

大哥，方便留个微信啥的嘛，以后方便交流，如果愿意的话可以发到email：13821843840@139.com