Yii2的RateLimiter必须依赖认证用户身份，未登录时因$user->id为null导致限流键生成失败而静默失效；需先配置authenticator行为、再声明rateLimiter，且须实现getRateLimit()返回如[100,600]。
Yii2 的速率限制必须依赖已认证的用户身份，没登录就启用 RateLimiter 会直接报错或失效。
为什么 RateLimiter 一启用就 401 或跳过限流？
因为 Yii2 的 RateLimiter 默认从 $user->id 提取标识符做计数，如果没配置认证（比如没加 authenticator 行为），$user->id 就是 null，导致限流键生成失败，行为静默跳过——你以为开了，其实没起作用。
- 必须先配置认证行为（如
HttpBearerAuth、QueryParamAuth或自定义类） -
RateLimiter要放在认证行为之后声明，否则可能在认证前就执行，拿不到用户 ID - 若用访客（guest）场景，需重写
getRateLimit()和loadAllowance()方法手动指定 key，不能依赖默认逻辑
RateLimiter 的三个核心参数怎么设才合理？
它靠 getRateLimit($request, $response) 返回一个二元数组：[允许请求数, 时间窗口秒数]。常见误配是只改数字不调单位，结果“100次/10分钟”写成 [100, 10]——实际是 10 秒窗口，完全失真。
- 正确写法：
[100, 600]（10 分钟 = 600 秒） - 想按 IP 限流？得自己实现
getKey()方法返回$_SERVER['REMOTE_ADDR']，否则仍按用户 ID - 数据库存储限流状态时，注意
yii\filters\RateLimiter默认用缓存（cache组件），不是 DB；要持久化得换用第三方扩展或自定义allowanceCallback
控制器里启用限流的最小可行代码长什么样？
不是加个类名就行，顺序、依赖、返回值都得对。下面这段是经过验证能跑通的最小结构：
public function behaviors()
{
$behaviors = parent::behaviors();
// 认证必须在前
$behaviors['authenticator'] = [
'class' => \yii\filters\auth\HttpBearerAuth::class,
];
// 限流在后，且显式启用
$behaviors['rateLimiter'] = [
'class' => \yii\filters\RateLimiter::class,
'enableRateLimitHeaders' => true, // 自动写 X-Rate-Limit-* 头
];
return $behaviors;
}
<p>// 必须实现这个方法，否则用父类默认值 [1, 1]（1次/秒），太严
public function getRateLimit($request, $response)
{
return [100, 600]; // 100 次 / 600 秒
}
- 漏掉
getRateLimit()就会沿用基类的[1, 1]，所有接口瞬间变不可用 -
enableRateLimitHeaders设为false时，超限时仍返回 429，但不带剩余次数和重试时间头，前端没法友好提示 - 测试时用
curl -H "Authorization: Bearer xxx"，别用未认证请求去测，否则永远不触发限流
真正容易被忽略的是：限流统计基于「认证后的用户 ID」，而这个 ID 默认来自 User::identityClass 的主键字段。如果你的用户表主键叫 uid 而不是 id，又没重写 User::getId()，那限流就会按 null 统计——所有用户挤在一个桶里，或者全失效。
