Nginx 用户级滑动窗口限流需 OpenResty + Lua + Redis zset 实现，以用户标识为 key、毫秒时间戳为 score 管理请求，通过原子 Lua 脚本完成清理、统计、插入及过期设置，并依赖 NTP 同步与降级策略保障可靠性。
直接用 Nginx 做用户级滑动窗口限流，必须借助 Lua 脚本 + Redis 有序集合（zset），核心是把每个用户的请求时间戳存进 zset，按时间窗口动态统计数量。固定窗口在临界点容易被击穿，而滑动窗口能真实反映“最近 N 秒内”的访问频次，更适合保护后端接口不被单个恶意用户拖垮。
关键设计：用户标识 + 时间戳 + zset 窗口管理
限流 key 必须唯一绑定用户维度，常见组合包括：
- IP + 接口路径：适合简单场景，但易受 NAT 或代理影响
- JWT 用户 ID 或登录态 token 解析出的 userId：更精准，需在 Lua 中解析 header 或 cookie
- AppID + userId + 接口名：多租户系统常用，避免跨租户干扰
例如 key 设计为 rate:uid:10086:/api/order/create，score 存毫秒级时间戳，value 存唯一请求标识（如 UUID 或哈希值），防止同一毫秒内重复请求覆盖。
Redis 操作逻辑必须原子化：用 Lua 脚本封装
所有 zset 操作（清理旧数据、统计数量、添加新请求）必须在一个 Lua 脚本中完成，否则并发下会出现竞争条件。典型脚本逻辑如下：
- 用 ZREMRANGEBYSCORE 清除窗口外（当前时间 − 窗口时长）的所有记录
- 用 ZCARD 获取当前窗口内请求数
- 若未超阈值，执行 ZADD 写入新请求，并调用 EXPIRE 设置 key 过期时间（略大于窗口时长，防冷 key 占内存）
- 返回 1（放行）或 0（拒绝），Nginx 根据返回值跳转到限流响应页或透传
Nginx 配置要点：OpenResty 是事实标准
原生 Nginx 不支持 Redis 访问，必须使用 OpenResty。配置示例关键片段：
- 启用 lua-resty-redis 库，连接池复用连接，避免频繁建连
- 在
location块中用 access_by_lua_file 执行限流逻辑（早于 proxy_pass） - 提取用户标识建议放在
init_by_lua_block初始化共享字典，提升性能 - 设置 lua_shared_dict 缓存限流规则（如 /api/xxx 的窗口=60s、阈值=100），避免每次读配置文件
生产注意事项：时间、精度与降级
真实部署时几个易踩坑点：
-
所有节点时间必须严格同步（NTP），否则 zset score 失效；建议用
redis.call('TIME')在 Lua 中取服务端时间，规避客户端或 Nginx 机器时钟偏差 - 窗口单位建议用毫秒级，避免秒级精度导致短时突发流量漏放（比如 1 秒内前 10ms 打满 100 次）
- Redis 故障时需有降级策略：可配置开关，故障时跳过限流；或 fallback 到本地内存计数（如 lua_shared_dict），但注意多 worker 间不共享，精度下降
- 监控必须跟上：记录被限流的用户 ID、key、时间，用于识别攻击源或误伤排查
