net/http 默认不防刷因其无状态设计，仅转发请求；IP+Token被绕过主因是限流未绑定上下文维度、Token未绑定IP、真实IP提取错误、内存计数器并发不安全。
为什么 net/http 默认不防刷，而加了 IP + Token 还被绕过？
因为 HTTP 是无状态的，net/http 本身只管转发请求，不做任何访问控制。你加了限流但没绑定上下文维度，攻击者换 IP 或复用合法 Token 就能打穿。关键不是“加没加”，而是“限在哪儿、依据谁、失效是否及时”。
- Token 若未绑定 IP 或设备指纹，单靠
jwt.Parse验签后直接放行，等于只验了身份，没验请求来源 - IP 若只取
r.RemoteAddr，Nginx 反代后全是127.0.0.1，实际是无效维度 - 内存计数器（如
map[string]int）没加锁或 TTL，高并发下数据错乱，甚至 OOM
怎么用 gorilla/securecookie 和 redis 实现双维度校验？
Token 负责身份合法性，IP（真实客户端 IP）负责行为合理性，二者必须同时满足才计数。Redis 不仅存 Token 状态，更要存 ip:token_hash 组合键，避免 Token 泛化复用。
- 真实 IP 要从
X-Forwarded-For或X-Real-IP提取，且需配置可信代理列表（如trustedProxies = []string{"10.0.0.0/8"}），否则可伪造 - Token 建议用
securecookie解析并提取 payload 中的user_id和exp，再拼接成 key：fmt.Sprintf("rate:%s:%x", clientIP, sha256.Sum256([]byte(token)).[:8]) - Redis 计数用
INCR+EXPIRE原子操作，例如：redis.Do("INCR", key); redis.Do("EXPIRE", key, 60)，不能分两步
http.HandlerFunc 中间件里怎么安全嵌入限流逻辑？
别在 handler 里写 if-else 判断计数超限后 return，那会漏掉写响应头、日志、清理资源等动作。要用 defer + responseWriter 包装，确保无论是否拦截都走统一出口。
- 封装一个
RateLimitMiddleware(redisClient *redis.Client, windowSec int, maxReq int)，接收 Redis 客户端和窗口参数 - 中间件内先调
parseToken(r)和getClientIP(r)，任一失败直接http.Error(w, "Unauthorized", http.StatusUnauthorized) - 计数前先检查
redis.Exists(key)，存在才INCR；若返回值 >maxReq，写响应头w.Header().Set("X-RateLimit-Remaining", "0")并 return 429 - 注意：不要在中间件里
defer r.Body.Close()，net/http已处理；但若你读了r.Body（比如解析 JSON），必须手动io.Copy(ioutil.Discard, r.Body)否则后续 handler 拿不到 body
为什么本地测试通过，上线后 ERR wrong number of arguments for 'incr' command？
这是 Redis 版本兼容问题：INCR 在 Redis 2.6+ 支持原子自增+过期（INCR + EXPIRE），但有些云 Redis（如阿里云 ApsaraDB）默认开启 proxy 模式，不支持多命令原子性。错误不是代码写错，是服务端能力缺失。
立即学习“go语言免费学习笔记（深入）”；
- 验证方式：直连 Redis 执行
redis-cli -h your-host INCR testkey; redis-cli -h your-host EXPIRE testkey 60，看是否报错 - 临时解法：改用
SET key 1 EX 60 NX（首次设置），再用INCR key，但需额外判断 key 是否已存在 - 长期方案：换用 Redis Lua 脚本封装整个逻辑，例如
eval "if redis.call('exists', KEYS[1]) == 0 then redis.call('setex', KEYS[1], ARGV[1], 1) else redis.call('incr', KEYS[1]) end" 1 ip:token 60
真正难的不是写对一行 INCR，而是想清楚：Token 是谁发的、IP 是谁看到的、Redis 是谁托管的——三个“谁”不一致时，双维度就塌了一半。
