Nginx需配置limit_req实现ThinkPHP上传接口的前置频率控制：先在http块定义限流区域，再在location中启用规则，合理设置burst与nodelay，并配合PHP层throttle中间件形成双层防护，最后通过curl和日志验证效果。
如果您在使用 ThinkPHP 构建的 Web 应用时，发现上传接口或 API 路由遭受高频恶意请求冲击，导致服务器资源耗尽或数据库写入异常，则很可能是缺乏 Nginx 层面的前置请求频率控制。以下是将 Nginx 的 limit_req 机制与 ThinkPHP 应用协同配置的具体操作步骤：
一、在 Nginx http 块中定义限流共享内存区域
该步骤用于声明一个全局可用的计数器存储区，是所有限流策略生效的前提。必须置于 http{} 块内，不可放在 server 或 location 中。
1、打开 Nginx 主配置文件（通常为 /etc/nginx/nginx.conf 或 /usr/local/nginx/conf/nginx.conf）。
2、在 http 块起始位置后添加如下行：
立即学习“PHP免费学习笔记（深入）”；
limit_req_zone $binary_remote_addr zone=tp_upload:10m rate=3r/m;
3、若需按接口路径精细化限流（例如仅限制 /api/upload），补充一行：
limit_req_zone $binary_remote_addr$request_uri zone=tp_api_uri:20m rate=5r/m;
4、保存并退出编辑器。
二、在 server 或 location 块中启用限流规则
此步骤将上一步定义的限流区域绑定到实际业务路径，使 Nginx 在请求进入阶段即执行判断。ThinkPHP 的入口通常为 index.php 或伪静态路由，应作用于其所在 location。
1、定位到对应 ThinkPHP 站点的 server 块。
2、找到处理 PHP 请求的 location ~ \.php$ 或显式匹配上传路径的 location ^~ /api/upload 块。
3、在该 location 内插入以下指令：
limit_req zone=tp_upload burst=6 nodelay;
4、如已配置 URI 维度限流，可叠加使用：
limit_req zone=tp_api_uri burst=10;
5、确保未遗漏 proxy_pass 或 fastcgi_pass 指令，以保证请求能正常转发至 PHP-FPM。
三、配置 burst 与 nodelay 参数应对突发流量
burst 参数设置缓冲队列长度，允许短时超出平均速率的请求暂存；nodelay 控制是否延迟处理这些缓冲请求。二者组合决定限流行为是“平滑排队”还是“超限即拒”。
1、若希望对上传接口严格控频（如防刷图），使用 burst=3 nodelay：超出 3r/m 的第 4 次请求立即返回 503。
2、若业务允许短暂高峰（如用户集中提交表单），改用 burst=12（不加 nodelay）：Nginx 将按漏桶算法匀速释放这 12 个缓存请求。
3、禁止在同一个 location 中对同一 zone 多次调用 limit_req，否则会导致配置解析失败。
四、配合 ThinkPHP 后端限流中间件形成双层防护
Nginx 层限流无法识别业务语义（如区分头像上传与附件上传），需由 ThinkPHP 的 topthink/think-throttle 中间件补足粒度控制，二者分工明确：Nginx 拦截海量低质请求，PHP 层校验合法请求中的业务参数。
1、在 ThinkPHP 6 项目中执行安装命令：composer require topthink/think-throttle:^2.0。
2、在 config/throttle.php 中强制指定：'visit_method' => ['POST']，避免默认仅拦截 GET 请求。
3、为上传路由单独绑定中间件，例如：
Route::post('/api/upload', 'UploadController@handle')->middleware(\think\middleware\Throttle::class, ['visit_rate' => '3/m', 'key' => function($throttle, $request) { return $request->ip() . '_' . ($request->post('scene') ?: 'default'); }]);
4、确认该中间件未对 $_FILES 执行任何读取或移动操作，防止与 Nginx 的请求体处理冲突。
五、验证限流是否生效并调试异常响应
配置完成后必须通过真实请求验证效果，重点关注 HTTP 状态码与 Nginx 错误日志输出，而非仅依赖浏览器表现。
1、重启 Nginx 服务：sudo nginx -t && sudo systemctl reload nginx。
2、使用 curl 发起连续请求测试：
for i in {1..10}; do curl -I http://your-domain.com/api/upload 2>/dev/null | head -1; sleep 0.5; done
3、实时查看错误日志：tail -f /var/log/nginx/error.log，确认出现 limiting requests 或 rejected 字样。
4、若始终无 503 响应，检查是否误将 limit_req_zone 放入了 location 块，或 $binary_remote_addr 变量被代理层覆盖（此时应改用 $http_x_real_ip 并确保前端透传）。
