用 $uri 而非 IP 限流可精准保护登录、下单等核心接口，避免 NAT 环境误伤或单用户刷量；配置 limit_req_zone $uri zone=byuri:10m rate=5r/s，并在 location = /api/v1/login 中启用 burst=10 nodelay。
直接用 limit_req_zone 结合 $uri 变量，就能对特定接口做精准限流，这是保护负载均衡后端核心路径（比如登录、下单、搜索）最常用也最有效的手段。
为什么选 $uri 而不是只用 IP？
单靠 IP 限流容易误伤——同一出口（如企业 NAT、校园网）下多个用户共用一个 IP，限制过严会影响正常访问；而只按 IP 放宽，又挡不住单个用户高频刷某个接口。用 $uri 可以把防护粒度落到具体路径上，让“/login”、“/api/order”这些敏感接口单独受控，其他静态资源或首页则不受影响。
基础配置写法（必须放在 http 块）
在 nginx.conf 的 http { } 区域中添加：
limit_req_zone $uri zone=byuri:10m rate=5r/s;
说明：
• $uri 是标准化后的请求路径（不含参数和查询字符串），例如 /api/v1/login；
• zone=byuri:10m 表示分配 10MB 共享内存，约可存储 16 万个不同 URI 的计数状态；
• rate=5r/s 意味着每个唯一 URI 每秒最多处理 5 个请求。
在 upstream 对应的 location 中启用
假设你已配置好负载均衡上游组：
upstream backend_api {
server 10.0.1.10:8000;
server 10.0.1.11:8000;
}那么在匹配关键接口的 location 块里启用限流：
location = /api/v1/login {
limit_req zone=byuri burst=10 nodelay;
proxy_pass http://backend_api;
proxy_set_header Host $host;
}关键点：
• 使用 = 精确匹配，避免正则开销，也防止路径混淆（如 /api/v1/login/test 不会被误限）；
• burst=10 允许短时突发 10 个请求进入队列；
• 加 nodelay 表示不排队等待，超速即刻拒绝（返回 503），降低后端压力；不加则会延迟处理，可能堆积连接。
进阶：组合 IP + URI 提升精度
若需防止单个用户反复刷多个接口（比如用脚本轮询 /login、/check、/captcha），可组合变量定义更细粒度规则：
limit_req_zone "$binary_remote_addr$uri" zone=ipuri:10m rate=3r/s;
这样同一个 IP 访问不同 URI 会算作不同键，既防单点爆破，又避免跨用户误伤。注意内存占用略高，但 10MB zone 仍可支撑十余万种组合。
验证与日志辅助
开启限流状态记录，方便排查：
log_format main '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" "$limit_req_status"'; access_log /var/log/nginx/access.log main;
日志中 $limit_req_status 字段会显示 passed、rejected 或 delayed，可配合 grep rejected 快速定位被拦截的 URI 和来源。
