可通过limit_req_zone配合map指令实现基于X-API-Key的静态多租户限速：先用map标准化API Key为$api_key_for_limit，再以此为键定义zone=apikey_limit:10m rate=10r/s，最后在location中用limit_req zone=apikey_limit burst=20 nodelay启用。
可以通过 limit_req_zone 指令配合自定义请求头（如 X-API-Key）实现基于 API Key 的静态多租户限速，核心是将 API Key 作为限速键（key），每个租户独立计数，互不影响。
提取并标准化 API Key 作为限速键
Nginx 默认不直接支持从请求头中提取变量用于 limit_req_zone，需借助 map 指令预处理。关键是过滤空值、去空格、统一大小写（可选），避免因格式差异导致同一租户被拆成多个桶：
map $http_x_api_key $api_key_for_limit {
"" "anonymous"; # 空 key 归入默认桶
default $http_x_api_key;
}
# 可选：转小写防大小写敏感（需 nginx 1.11.6+）
# map $http_x_api_key $api_key_for_limit {
# "" "anonymous";
# default $lowercase_api_key;
# }
# map $http_x_api_key $lowercase_api_key {
# default $http_x_api_key;
# }
定义按 API Key 划分的限速区域
在 http 块中声明 limit_req_zone，使用上一步生成的变量作为键，指定共享内存区名、大小和速率：
limit_req_zone $api_key_for_limit zone=apikey_limit:10m rate=10r/s;
-
zone=apikey_limit:10m：分配 10MB 共享内存，约可存储 16 万个独立 key（估算值，实际取决于 key 长度） -
rate=10r/s：每个 API Key 每秒最多 10 个请求；也可用60r/m表示每分钟 60 次 - 注意：该 zone 必须定义在
http块，不能放在server或location内
在 location 中启用限速并配置行为
在对应 API 路由的 location 块中调用 limit_req，建议开启突发缓冲与延迟，并设置合理拒绝响应：
location /api/ {
limit_req zone=apikey_limit burst=20 nodelay;
limit_req_status 429;
<pre class='brush:php;toolbar:false;'># 可选：记录被限速的 key，便于排查
log_format limitlog '$remote_addr - $remote_user [$time_local] '
'"$request" $status $body_bytes_sent '
'"$http_x_api_key" $request_time $limit';
access_log /var/log/nginx/api_limit.log limitlog;
proxy_pass http://backend;}
-
burst=20：允许最多 20 个请求排队（不立即拒绝），配合nodelay实现“令牌桶”平滑放行 -
limit_req_status 429：触发限速时返回标准 HTTP 429 Too Many Requests - 若需严格硬限速（不排队），去掉
burst和nodelay，或改用burst=0 nodelay
补充建议与注意事项
- API Key 应通过 HTTPS 传输，避免明文暴露；Nginx 层不做鉴权，仅限速，鉴权由后端服务完成
- 如需不同租户不同配额，需配合多个
limit_req_zone+ 动态 map（例如查 Redis 或用 Lua），纯静态配置不支持 per-key 不同速率 - 共享内存区大小需根据租户数预估：每个 key 占用约 64 字节（含哈希槽+元数据），10 万租户建议 ≥8m
- 测试时可用
curl -H "X-API-Key: abc123" http://api.example.com/api/test验证限速是否按 key 生效
