Flask中用flask-limiter做IP限频最省事：安装后初始化需指定Redis存储和安全IP提取函数get_ipaddr()，避免代理穿透与多进程失效；@limiter.limit("10 per minute", key_func=get_ipaddr)即可生效，生产必须禁用memory://、校验X-Forwarded-For可信代理。
Flask 中用 flask-limiter 做 IP 限频最省事
直接上手就用 flask-limiter，它原生支持基于 remote_addr 的 IP 级限流，不用自己存 Redis 或写装饰器逻辑。不装这个库硬搞，容易漏掉代理穿透、IPv6 处理、并发竞争这些坑。
安装和基础配置很简单：
pip install flask-limiter
关键点在于存储后端选型和 key 的构造方式：
-
Redis是首选——flask-limiter默认用内存（MemoryStorage），但多进程下失效，生产必须配Redis - IP 提取不能只信
request.remote_addr，要结合X-Forwarded-For（但得验证可信代理，否则可伪造） - 限频 key 必须唯一且防碰撞，推荐用
get_ipaddr()封装提取逻辑，再拼进key_func
如何安全提取真实客户端 IP
很多 Flask 项目直接用 request.remote_addr，但 Nginx 反向代理后它永远是 127.0.0.1；而盲目读 X-Forwarded-For 又会被恶意 header 注入绕过。
立即学习“Python免费学习笔记（深入）”；
正确做法是明确信任的代理列表，并只取链路中第一个非代理 IP：
from flask import request<br><br>def get_ipaddr():<br> trusted_proxies = {'192.168.1.0/24', '10.0.0.1'} # 实际填你自己的反代 IP 段或地址<br> ip = request.remote_addr<br> if request.headers.get('X-Forwarded-For'):<br> ips = [i.strip() for i in request.headers['X-Forwarded-For'].split(',')]<br> for i in reversed(ips):<br> if i not in trusted_proxies:<br> ip = i<br> break<br> return ip然后把这个函数传给 Limiter 的 key_func 参数，确保每个 IP 单独计数。
Claw Code Suite (Python-Only Edition)
下载
仅使用 Python 将 Claw Code 虚拟化框架与 OpenClaw 集成，提供 184 种工具和 200 多条命令，用于安全分析和代码质量...
@limiter.limit 的参数怎么设才不误伤正常用户
限频策略不是越严越好。"100 per day" 对爬虫宽松，"5 per minute" 对 AJAX 请求可能太狠。得看接口类型：
- 登录页、搜索页这类高风险接口，建议
"10 per minute"+key_func=get_ipaddr - 静态资源或公开 API，用
"1000 per hour"更合理 - 避免对
OPTIONS或健康检查路径（如/healthz）限频，加exempt_when条件 - 触发限频后默认返回
429 Too Many Requests，可用on_failure自定义响应体
示例：
@app.route('/api/search')<br>@limiter.limit("10 per minute", key_func=get_ipaddr)<br>def search():<br> return {'results': [...]}为什么 Redis 连接失败会导致全站 500？
flask-limiter 默认在每次请求时同步调用 Redis，如果 Redis 不可用或超时，会抛出 ConnectionError 或 TimeoutError，直接让视图崩溃——这不是预期行为，而是没做降级。
必须显式启用故障降级：
- 初始化时加参数
fallback_to_memory=True（仅限开发环境应急） - 生产环境更稳妥的是用
redis-py的连接池 +socket_timeout和retry_on_timeout - 或者改用
asyncio+aioredis配合flask-limiter的异步模式（需 Flask 2.0+）
别忽略连接复用和超时设置，一个卡住的 Redis 请求会让整个请求队列阻塞。
IP 限频真正难的不是写几行代码，是判断哪些请求该限、哪些不该限，以及当 Redis 挂了、代理头被伪造、IPv6 地址长度溢出时，系统是否还能稳住。这些边界情况比语法本身更消耗调试时间。
