Nginx层限流比PHP层更高效，可提前拦截请求、节省解析开销并防御爬虫与CC攻击；需结合Lua精准匹配TP5.1接口路径（如location /api/），用lua-resty-limit-req实现IP+接口双维度限流，并绕过健康检查、OPTIONS预检等特殊场景，辅以日志与监控提升可观测性。
直接在 Nginx 层面对 ThinkPHP 5.1 的接口做限流，比在 PHP 层拦截更高效、更早生效——请求根本不会到达 TP 应用，既节省 PHP 解析开销，又能防住高频爬虫、CC 攻击和恶意刷接口行为。核心是利用 Nginx + Lua 组合，在请求进入 upstream（即 TP 的 PHP-FPM）前完成识别、统计与拦截。
限流对象要精准匹配 TP 接口路径
ThinkPHP 5.1 默认使用 PATH_INFO 或路由模式（如 /index.php/v1/user/info 或 /api/user/list），不能简单对 / 全站限流。需在 location 块中明确限定目标：
- 若 TP 启用
pathinfo，推荐按入口文件 + 路径前缀匹配，例如：location ~ ^/index\.php/api/ { ... } - 若已配置伪静态（
rewrite ^/api/(.*)$ /index.php?s=api/$1 last;），则直接限流location /api/ { ... } - 避免误伤静态资源：排除
.js、.css、.png等后缀，或单独配置白名单 location
用 lua-resty-limit-req 实现动态 IP+接口双维度限流
TP 接口常需差异化策略（如登录接口宽松、支付接口严格），仅靠 Nginx 原生 limit_req 难以满足。Lua 模块可灵活组合 key：
- 构造复合 key：如
ngx.var.binary_remote_addr .. '_' .. ngx.var.uri，实现「每个 IP 对每个接口独立计数」 - 支持按请求头区分调用方：
ngx.var.http_x_app_id or 'default'，便于多租户或 SDK 接入限流 - 示例脚本片段（保存为
/usr/local/nginx/lua/rate_limit.lua）：local limit = require "resty.limit.req"<br>local lim, err = limit.new("my_limit", 100, 60) -- 100次/60秒<br>if not lim then ngx.log(ngx.ERR, "failed to instantiate a resty.limit.req object: ", err) return ngx.exit(500) end<br>local key = ngx.var.binary_remote_addr .. "_" .. ngx.var.uri<br>local delay, err = lim:incoming(key, true)<br>if err == "rejected" then ngx.exit(429) end
绕过限流的常见 TP 场景要主动放行
TP 自身机制可能触发误限，需在 Lua 中提前判断并跳过：
- 健康检查接口（如
/api/health）或监控探针，加白名单逻辑：if ngx.var.uri == "/api/health" then return end - TP 的跨域预检请求（
OPTIONS方法）不携带业务参数，不应计入频次：if ngx.var.request_method == "OPTIONS" then return end - 已登录用户（通过 Cookie 或 Token 解析出 UID）可提升配额，用
ngx.var.cookie_token或ngx.var.http_authorization提取凭证后查 Redis 缓存
日志与可观测性不能只靠 error_log
限流拒绝应有明确记录，方便排查误杀或攻击溯源：
- 在 Lua 中写自定义 access log：
ngx.log(ngx.WARN, "Rate limited: ", ngx.var.binary_remote_addr, " on ", ngx.var.uri) - 配合 Nginx
log_format记录 HTTP 状态码、限流 key、响应时间：log_format main '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" $request_time $upstream_response_time "$limit_key"'; - 将限流事件推送到 ELK 或 Prometheus（通过 lua-resty-http 调用 webhook 或 pushgateway）
