我自定义的目录结构如下:
-anti_spider
  -conf/
     -nginx.conf
  -lua/
     -access.lua
  -log/
     -error.log
  -geetest_web/
     -demo/
     -sdk/
     -geetest.py
     -setup.py
     -requirements.txt

worker_processes  1;
error_log logs/error.log;
events {
    worker_connections 1024;
}
http {
    server {
        listen 80;
        location / {
	        access_by_lua_file 'lua/access.lua';
            content_by_lua 'ngx.say("Welcome PENIS!")';
	    }
    }
}
   

-- package.path = '/usr/local/openresty/nginx/lua/?.lua;/usr/local/openresty/nginx/lua/lib/?.lua;'
-- package.cpath = '/usr/local/openresty/nginx/lua/?.so;/usr/local//openresty/nginx/lua/lib/?.so;'

-- 连接redis
local redis = require 'resty.redis'
local cache = redis.new()
local ok ,err = cache.connect(cache,'127.0.0.1','6379')
cache:set_timeout(60000)
-- 如果连接失败，跳转到label处
if not ok then
  goto label
end

-- 白名单
is_white ,err = cache:sismember('white_list', ngx.var.remote_addr)
if is_white == 1 then
  goto label
end

-- 黑名单
is_black ,err = cache:sismember('black_list', ngx.var.remote_addr)
if is_black == 1 then
  ngx.exit(ngx.HTTP_FORBIDDEN)
  goto label
end


-- ip访问频率时间段
ip_time_out = 60
-- ip访问频率计数最大值
connect_count = 45
-- 60s内达到45次就ban

-- 封禁ip时间(加入突曲线增长算法)
ip_ban_time, err = cache:get('ip_ban_time:' .. ngx.var.remote_addr)
if ip_ban_time == ngx.null then
  ip_ban_time = 300
  res , err = cache:set('ip_ban_time:' .. ngx.var.remote_addr, ip_ban_time)
  res , err = cache:expire('ip_ban_time:' .. ngx.var.remote_addr, 43200) -- 12h重置
end


-- 查询ip是否在封禁时间段内，若在则跳转到验证码页面
is_ban , err = cache:get('ban:' .. ngx.var.remote_addr) 
if tonumber(is_ban) == 1 then
  -- source携带了之前用户请求的地址信息，方便验证成功后返回原用户请求地址
  local source = ngx.encode_base64(ngx.var.scheme .. '://' ..
    ngx.var.host .. ':' .. ngx.var.server_port .. ngx.var.request_uri)
  local dest = 'http://127.0.0.1:5000/' .. '?continue=' .. source 
  ngx.redirect(dest,302)
  goto label
end

-- ip记录时间key
start_time , err = cache:get('time:' .. ngx.var.remote_addr)
-- ip计数key
ip_count , err = cache:get('count:' .. ngx.var.remote_addr)

-- 如果ip记录时间的key不存在或者当前时间减去ip记录时间大于指定时间间隔，则重置时间key和计数key
-- 如果当前时间减去ip记录时间小于指定时间间隔，则ip计数+1，
-- 并且ip计数大于指定ip访问频率，则设置ip的封禁key为1，同时设置封禁key的过期时间为封禁ip时间

if start_time == ngx.null or os.time() - tonumber(start_time) > ip_time_out then
  res , err = cache:set('time:' .. ngx.var.remote_addr , os.time())
  res , err = cache:set('count:' .. ngx.var.remote_addr , 1)
else
  ip_count = ip_count + 1
  res , err = cache:incr('count:' .. ngx.var.remote_addr)
  -- 统计当日访问ip集合
  res , err = cache:sadd('statistic_total_ip:' .. os.date('%x'), ngx.var.remote_addr)
  if ip_count >= connect_count then
    res , err = cache:set('ban:' .. ngx.var.remote_addr , 1)
    res , err = cache:expire('ban:' .. ngx.var.remote_addr , ip_ban_time)
    res , err = cache:incrby('ip_ban_time:' .. ngx.var.remote_addr, ip_ban_time)
    -- 统计当日屏蔽ip总数
    res , err = cache:sadd('statistic_ban_ip:' .. os.date('%x'), ngx.var.remote_addr)
  end
end

::label::
local ok , err = cache:close()

启动:
 nginx -p `pwd` -c conf/nginx.conf
重载:(修改了lua脚本或者nginx.conf配置每次都要重载生效)
 nginx -p `pwd` -c conf/nginx.conf -s reload

local dest = 'http://127.0.0.1:5000/' .. '?continue=' .. source 
ngx.redirect(dest,302)

1.git拉下来
git clone https://github.com/GeeTeam/gt3-python-sdk.git
2.构建geetest
python3 setup.py install 
3.找到启动demo里面的基于flask写的web api
#直接python3 start.py是不行滴！你还需要flask，而且因为还要访问redis，再来个redis
pip3 install Flask
pip3 install redis
python3 start.py
#注意要和start.py以及templates/同一层启动start.py，不然等下找不到templates/下面的login.html和gt.js
#吐槽一下极验的后端部署文档的不完整，我也是自己调试着才知道怎么回事...

1.打开start.py，简单说明一下:
pc_geetest_id和pc_geetest_key你自己申请换上去吧，不详细说明了;
get_pc_captcha()这个就是官方文档那个"嗨复杂的"完整流程图的第一次网站主的客户端对网站主的服务器的请求接口;
pc_ajax_validate()这个是二次验证的，返回的是json格式的;
pc_validate_captcha()和pc_ajax_validate()这个功能一样，只不过这个是返回html;
statichandler()这个估计是前端的脚本需要访问的，不用理;
login()这个就不用解释了;
(login.html的内容其实我们这次完全不是做用户登录，所以用不到提交用户名密码，所以用户名密码那块代码html表格都可以删掉了)

2.新增一个redis的操作函数
def handle_passed_ip(remote_ip):
    # 处理验证通过的ip，注意host,port还有db要和你lua访问的一致!!!
    import redis
    r = redis.Redis(host='127.0.0.1', port=6379, db=0)
    r.delete('ban:' + str(remote_ip))
    r.set('count:' + str(remote_ip), 1)
    return remote_ip


3.改login()

def login():
    import base64
    # 拿到之前lua跳转过来携带的continue参数
    # 即通过base64编码过的记录着访问者访问的原url信息，方便验证通过跳转
    former_url = base64.b64decode(request.args.get('continue'))
    session["former_url"] = former_url
    return render_template('login.html')


4.改pc_ajax_validate()

def pc_ajax_validate():
    gt = GeetestLib(pc_geetest_id, pc_geetest_key)
    challenge = request.form[gt.FN_CHALLENGE]
    validate = request.form[gt.FN_VALIDATE]
    seccode = request.form[gt.FN_SECCODE]
    status = session[gt.GT_STATUS_SESSION_KEY]
    user_id = session["user_id"]
    if status:
        result = gt.success_validate(
            challenge, validate, seccode, user_id, data='', userinfo='')
    else:
        result = gt.failback_validate(challenge, validate, seccode)
    result = {"status": "success"} if result else {"status": "fail"}
	# 从这里开始就是新增的内容
    remote_ip = request.remote_addr  # 获取访问者ip
    remote_ip = handle_passed_ip(remote_ip) #调用我们新增的redis操作函数
    result.update({"former_url": session["former_url"].decode('utf-8')})
    return json.dumps(result)