Apache不原生支持按方法+路径限频，需用SetEnvIf标记请求并配合mod_evasive的DOS_ENABLED环境变量触发限流，仅对匹配的POST /api/v1/submit生效，其他请求完全绕过。
Apache本身不提供原生的“按HTTP方法+路径限频”指令，但可通过环境变量标记 + mod_evasive 条件触发实现精准限流。关键不在限制方法本身，而在让限流模块只对目标方法生效。
只对 POST /api/v1/submit 限流的核心配置
这是最典型的业务场景：保护提交接口，放行其他所有请求。需两步配合：
- 用
SetEnvIf在匹配请求时设置自定义环境变量（如evasive_post_target） - 在
mod_evasive配置中，通过<IfModule mod_setenvif.c>判断该变量是否存在，仅在此条件下启用限流
示例配置片段：
SetEnvIf Request_Method ^POST$ is_post<br>
SetEnvIf Request_URI ^/api/v1/submit$ is_submit_api<br>
SetEnvIf is_post 1 is_post_submit<br>
<Location "/api/v1/submit"><br>
SetEnvIf Request_Method "POST" evasive_post_target<br>
</Location><br>
<br>
<IfModule mod_evasive20.c><br>
DOSEnabled on<br>
DOSPageCount 3<br>
DOSPageInterval 10<br>
DOSLogDir "/var/log/mod_evasive"<br>
DOSBlockingPeriod 600<br>
<IfModule mod_setenvif.c><br>
SetEnvIf evasive_post_target 1 DOS_ENABLED<br>
</IfModule><br>
</IfModule>
这样，只有 POST 到 /api/v1/submit 的请求才会被纳入计数；GET、PUT、其他路径的 POST 全部绕过，不影响正常流量。
为什么 LimitRequestFields 和 LimitRequestFieldSize 不是限流方案
这两个指令管的是请求头的数量和单个头长度，不是请求频率或方法类型：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
-
LimitRequestFields 40防的是“发500个空Header耗尽内存”，不是“1秒刷1000次POST” -
LimitRequestFieldSize 2048防的是“一个8KB的Cookie撑爆缓冲区”，和请求次数无关 - 它们属于解析层防护，无法识别方法、URI 或客户端IP，更不能触发拦截或延迟响应
若想防高频恶意请求，必须依赖具备状态跟踪能力的模块，比如 mod_evasive 或 mod_ratelimit（后者只限带宽，不区分方法）。
对比 mod_ratelimit 和 mod_evasive：选错就白配
两者定位完全不同：
-
mod_ratelimit是按响应字节数/秒做带宽限速（例如限制每个连接最大 100KB/s），不感知请求方法、URI 或来源IP，也不做计数封禁 -
mod_evasive是基于 IP + URI + 方法的组合行为分析，支持阈值触发（如1秒内同一IP对某URI发超5次POST）、自动拉黑、调用系统命令硬拦截（如 iptables） - 要防暴力提交、接口爆破、爬虫探测，必须用
mod_evasive，且务必启用DOSEnabled并设好DOSPageCount和DOSPageInterval
默认配置下，mod_evasive 只对 GET 请求生效；若不限制 POST/PUT，等于留了后门。
验证是否真正生效的三个动作
配完不验证等于没配：
- 运行
apache2ctl -t -D DUMP_RUN_CFG | grep -i "dosev\|limit"，确认DOS_ENABLED被识别且参数已加载 - 用
curl -X POST -H "X-Test: 1" http://your.site/api/v1/submit快速连发5次，观察第6次是否返回 403（或日志中出现Blacklisting记录） - 检查
/var/log/mod_evasive/下是否有对应 IP 的临时文件生成，确认拦截逻辑走通
注意：若看到大量 503 而非 403，大概率是 DOSSystemCommand 触发了 iptables 但规则未生效，或网络中间设备丢包，需单独排查防火墙链路。
