ThinkPHP 6.0 API限流需四步闭环：①安装topthink/think-throttle:^2.0并发布配置；②修改visit_method支持POST；③启用全局中间件开关；④切Redis缓存、透传X-Real-IP、Nginx前置限流。
你的ThinkPHP 6.0项目上线后，API接口被爬虫高频调用、优惠券/短信接口被批量盗刷、用户数据被暴力遍历——这些不是偶然，而是缺乏分层限流策略的必然结果。真实攻击场景中，单个IP每秒发起300次POST上传或GET列表请求，会直接拖垮PHP-FPM进程池，而你配置的“throttle:10/m”却毫无反应，问题往往出在限流粒度、缓存驱动或Nginx前置环节。
启用Throttle中间件并修正关键配置
第一步：执行安装命令，【必须指定v2+版本】：composer require topthink/think-throttle:^2.0。v1版本不兼容TP6.1+的Request对象注入，装错会导致中间件根本无法读取请求参数。
第二步：检查config/throttle.php是否存在；若无，运行php think vendor:publish生成配置文件。重点修改'visit_method' => ['POST']——【默认值只拦截GET，而99%的恶意抓取是POST】，漏改此处等于限流形同虚设。
第三步：确认app/middleware.php中'use_global_middleware' => true已开启。否则即使路由绑定了中间件，全局开关关闭也会导致策略不生效。
按业务维度精准限流，避免IP级粗放限制
方法一：按上传类型区分限流键
在路由定义中，对头像上传接口单独配置：->middleware(\think\middleware\Throttle::class, ['visit_rate' => '3/m', 'key' => function($throttle, $request) { return $request->ip() . '_avatar'; }])。这样同一IP上传头像和上传证件照互不影响，避免用户换场景就被误封。
方法二：绑定业务参数防绕过
对于优惠券领取接口，【别用$_POST['scene']直接拼接】，因为该字段可被篡改。改用服务端校验后的可信标识：'key' => function($throttle, $request) { $scene = in_array($request->post('scene'), ['coupon', 'gift']) ? $request->post('scene') : 'default'; return $request->ip() . '_' . $scene; }。这样即使攻击者伪造scene=xxx，也会被降级到default桶里统一管控。
切换Redis缓存驱动，杜绝文件锁导致的计数失效
打开config/cache.php，将'default' => 'redis'设为真实值。生产环境若仍用file驱动，高并发下多个PHP进程同时写同一个缓存文件会触发文件锁竞争，导致计数值丢失或重复累加——你看到的“限流没起作用”，80%概率是这个原因。
同时检查Nginx配置是否透传真实IP：proxy_set_header X-Real-IP $remote_addr;与proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;必须存在，否则$request->ip()返回的是Nginx服务器内网地址，所有请求都挤进同一个计数器。
在Nginx层做前置速率压制
第一步：在nginx.conf的http块中添加限流区域：limit_req_zone $binary_remote_addr zone=api_limit:10m rate=20r/m;。注意这里用$binary_remote_addr而非$remote_addr，内存占用减少90%，适合百万级IP场景。
第二步：在对应server块的location中启用：limit_req zone=api_limit burst=5 nodelay;。burst=5允许短时突发5个请求，nodelay防止排队阻塞，这对前端页面加载时的并行AJAX请求友好。
第三步：配合返回头增强客户端感知：limit_req_status 429;，并在响应头中添加add_header Retry-After "60";。这样前端JS收到429时能主动sleep再重试，而不是盲目轮询加重后端压力。
