Symfony限流需明确“谁限、在哪限、怎么限”，通过RateLimiterFactory手动调用或路由声明式配置，推荐Redis存储并注意并发安全。
Symfony限流组件用起来不难，关键在选对策略、配好存储、嵌入到请求生命周期里。它不是装上就能自动生效的黑盒，得明确“谁限”“在哪限”“怎么限”三个问题。
安装与基础配置
先通过 Composer 安装核心组件：
composer require symfony/rate-limiter- 如果要用 Redis 做分布式存储（推荐生产环境），再加：
composer require symfony/redis-messenger或配合snc/redis-bundle
然后在 config/packages/rate_limiter.yaml 中定义一个限流器：
framework:
rate_limiter:
api_read:
policy: 'token_bucket'
limit: 100
rate: { interval: '1 minute' }
login_attempt:
policy: 'fixed_window'
limit: 5
rate: { interval: '15 minutes' }
这里定义了两个限流器：一个用于普通读接口（令牌桶，每分钟最多100次），一个用于登录（固定窗口，15分钟最多5次）。
在控制器中手动限流
最直接的方式是在控制器方法里调用限流器：
- 注入
RateLimiterFactory - 用
create('xxx')获取对应限流器实例 - 调用
consume(1)->isAccepted()判断是否放行
示例：
use Symfony\Component\RateLimiter\RateLimiterFactory;
use Symfony\Component\RateLimiter\Exception\RateLimitExceededException;
public function listUsers(RateLimiterFactory $factory)
{
$limiter = $factory->create('api_read');
if (!$limiter->consume(1)->isAccepted()) {
throw new RateLimitExceededException();
}
return $this->json(['users' => [...]]);
}
注意：consume() 是原子操作，支持并发安全；若需更精细控制（比如按 IP 或用户 ID 区分），可在创建工厂时传入自定义标识符。
按路由自动限流（API Platform / 自定义匹配器）
不想每个控制器都写限流逻辑？可以结合路由系统做声明式限流。
- 在路由定义里加选项，比如：
'rate_limit' => ['limit' => 10, 'interval' => '1 minute', 'identifier' => 'ip'] - 用自定义
UrlMatcher（继承Symfony\Component\Routing\Matcher\UrlMatcher），在match()方法里读取路由选项并执行限流检查 - 或在 API Platform 中，直接用
@ApiResource的security配置 +rate_limiter规则联动
这种方式把限流规则和 URL 路径绑定，维护集中、不易遗漏，适合中大型 API 项目。
存储选择与性能要点
限流效果是否可靠，取决于底层存储：
-
InMemoryStorage：仅适合单机开发测试，重启即失效，高并发下不准 -
RedisStorage：生产首选，支持原子计数、过期自动清理、跨进程同步 - 数据库存储（如 PDO）：可用但性能差，除非已有强一致性要求且 Redis 不可用
另外，别忽略锁机制——当多个请求几乎同时触发临界值时，TokenBucketLimiter 默认带轻量级锁，但高并发场景建议启用 Redis 的 LockInterface 实现更强保障。
