Laravel限流需显式定义命名策略，throttle中间件仅为壳，必须在RouteServiceProvider中用RateLimiter::for()注册对应策略名（如'api'），并确保缓存驱动为Redis。
直接说结论：Laravel 的限流靠 throttle 中间件，但“写上就生效”是最大误区——它默认只对 api 路由组起作用，且必须显式绑定策略名（比如 throttle:api），不是写 throttle:60,1 就能全局生效。
为什么 throttle:60,1 在某些路由上没反应？
常见错误现象：在 routes/web.php 里给一个 GET /test 加了 throttle:60,1，狂刷也没被拦；或者在 api 组里写了却报错 “Rate limiter [api] is not defined”。
-
throttle中间件本身不带默认参数，它只是个“壳”，真正逻辑由RateLimiter::for('xxx')定义的策略驱动 -
throttle:60,1是“匿名策略”，仅适用于未命名场景（如单个路由），但 Laravel 默认的api路由组配置里写的是throttle:api，它会去找名为api的策略 —— 如果你没在RouteServiceProvider::configureRateLimiting()里定义它，就会报错 -
web路由组默认不启用限流中间件，即使你手动加throttle，也得确保缓存驱动支持（比如 Redis），否则可能静默失败
怎么正确定义和使用命名限流策略？
核心动作是在 app/Providers/RouteServiceProvider.php 的 configureRateLimiting() 方法里注册策略，用 RateLimiter::for() 绑定一个字符串 key 和返回 Limit 实例的闭包。
- 策略名必须和中间件参数一致：比如你写
throttle:api，就必须有RateLimiter::for('api', ...) -
by()决定“谁共享配额”：用$request->user()?->id ?: $request->ip()是安全写法；直接写$request->user()->id会导致未登录用户抛出Call to a member function id() on null - 时间单位只有
perMinute()、perHour()、perDay()—— 没有perSecond()，底层不支持秒级原生限流 - 示例（放在
configureRateLimiting()内）：RateLimiter::for('api', function (Request $request) { return Limit::perMinute(100)->by($request->user()?->id ?: $request->ip()); });
按用户角色差异化限流怎么做？
不能只靠中间件参数硬编码，得在策略闭包里动态判断，否则 VIP 用户和游客共用同一桶，毫无意义。
- 直接在
RateLimiter::for('api', ...)的闭包里做条件分支，比如检查$request->user()?->isVip() - 注意：
by()值必须保持一致性，否则同个用户可能被算成多个桶；VIP 用户建议统一用$request->user()->id，普通用户 fallback 到 IP，别混用 - 性能影响：每次请求都执行闭包 + 查询用户模型，如果
isVip()是数据库字段，记得加索引或缓存；高频接口建议把角色信息预加载或存到 token 里 - 示例：
if ($request->user()?->isVip()) { return Limit::perMinute(200)->by($request->user()->id); } return Limit::perMinute(60)->by($request->ip());
限流后返回 429 怎么自定义？
默认响应是纯 HTML 页面或空 JSON，前端无法友好提示；而且 Retry-After 头默认不返回，用户不知道等几秒。
- 修改
app/Exceptions/Handler.php的render()方法，捕获ThrottleRequestsException - 务必调用
$exception->getHeaders()才能拿到X-RateLimit-Limit等头信息，否则前端收不到限流元数据 - 示例：
if ($exception instanceof ThrottleRequestsException) { $headers = $exception->getHeaders(); return response()->json([ 'message' => '请求太频繁，请稍后再试', 'retry_after' => $headers['Retry-After'] ?? 60 ], 429, $headers); }
最常被忽略的一点：限流依赖缓存驱动，如果你用的是文件或 database 缓存，高并发下会严重拖慢甚至失效；生产环境必须用 Redis，并在 config/cache.php 里确认 'limiter' => 'redis' 已设置。
