429是Nginx主动限流触发的响应，不可屏蔽，但可通过allow/deny白名单、geo动态排除或deny彻底拦截来控制特定IP是否受限制。
429 状态码不是被“屏蔽”的结果，而是 Nginx 主动限流（limit_req 或 limit_conn）触发的响应。所以你不能“屏蔽 429”，但可以**阻止特定 IP 触发 429**——也就是让它们绕过限流规则，或提前拒绝/放行，避免走到限流判定那一步。
明确目标：不让某些 IP 被限流（从而不返回 429）
常见需求其实是：运维IP、内部测试IP、可信合作伙伴IP，不希望它们因速率限制被拦，避免返回 429。核心思路是——在限流指令生效前，用 allow/deny 或 geo 提前放行或排除这些 IP。
- 限流模块（如
limit_req）只对未被deny或未被allow显式放行的请求生效 - 只要请求在进入
limit_req前已被allow（且后面没跟deny all），就不会被限速 - 反过来，如果想让某 IP **永远不被放行**（连 429 都不给，直接 403），就用
deny放在最前面
方法一：用 allow/deny 白名单跳过限流
适用于少量固定可信 IP，配置简单、优先级高：
- 在对应
location块中，先写allow，再写deny all，最后才是limit_req -
allow的 IP 完全绕过后续所有限流逻辑，自然不会返回 429 - 示例（只允许两个运维 IP 免限流）：
allow 192.168.10.5;
allow 2001:db8::1;
deny all;
limit_req zone=api burst=10 nodelay;
proxy_pass http://backend;
}
方法二：用 geo 模块动态排除 IP
适合需要按条件（如国家、部门网段）批量豁免，且不想硬编码大量 allow：
- 在
http块定义geo变量，标记需豁免的 IP - 在
location中用if判断并跳过限流（注意：if在 location 内用于变量判断是安全的） - 示例：
geo $skip_limit {
default 0;
192.168.0.0/16 1;
10.0.0.0/8 1;
}
limit_req_zone $binary_remote_addr zone=api:10m rate=5r/s;
server {
location /api/ {
if ($skip_limit) { set $limit_key ""; }
limit_req zone=api burst=5 nodelay;
proxy_pass http://backend;
}
}
}
说明：当 $skip_limit = 1 时，$limit_key 被设为空字符串，而 limit_req 对空 key 不做限制，等效于跳过。
方法三：直接 deny 特定 IP（彻底拦截，不给 429）
如果目标是“让某 IP 连 429 都看不到，直接 403”，那就不用限流，直接拒绝：
- 在
location或server块顶部加deny，它优先级最高 - 被
deny的请求不会进入任何后续处理（包括限流、代理、日志记录等） - 示例：
deny 1.2.3.4;
deny 2001:db8::2;
limit_req zone=api burst=5;
proxy_pass http://backend;
}
真正要解决的，不是“屏蔽 429”，而是控制谁受限制、谁不受限制。选哪种方式，取决于你是想豁免、跳过，还是彻底阻断。
