Composer客户端无法限流，因它是无状态命令行工具，不维持连接、不支持Redis、无可挂载钩子；真正防刷必须由镜像服务端用Nginx+Lua实现滑动窗口限流，且需精准匹配/p2/.*.json路径、设置429响应及合理Key维度。
Composer 客户端本身不防刷，也做不到限流——所有“高频刷库”行为必须由镜像服务端拦截，客户端连 Redis 都连不上，更没法执行 INCR 或 SETNX。
为什么不能在 Composer 客户端做限流
Composer 是纯命令行工具，无服务进程、不维持连接、不读写 Redis。它只发 HTTP GET 请求（如 /packages.json、/p2/vendor/package/1.0.0.json），之后就退出。所谓“客户端限流”是概念错误，实际根本不存在可挂载的钩子或中间件。
常见误解包括：
- 以为
composer config能配速率限制 —— 它只管源地址和认证，不碰请求频率 - 以为加
--no-cache或--refresh能缓解刷库 —— 这些只影响本地缓存，反而可能加剧服务端压力 - 误信某些“限流插件”能在 install 时拦住高频请求 —— 插件运行在包下载后，此时请求早已发出
Nginx + Lua 实现原子级滑动窗口限流
真正有效的防刷，得落在镜像服务端。OpenResty 是最常用方案，核心是用 Lua 封装 Redis 原子操作，避免并发竞争导致计数错乱。
关键点：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
key必须带区分维度：推荐rate:ip:{ngx.var.remote_addr}:composer或rate:token:{ngx.var.arg_token}:composer，避免全局限流误伤正常用户 - 不用固定窗口（如每分钟重置），改用滑动窗口（
ZSET）或令牌桶（INCR+EXPIRE），否则突发流量会直接打穿阈值 - 每次
INCR后必须紧跟EXPIRE，否则 Redis 内存持续上涨；TTL 应与窗口周期一致（如 60 秒窗口 →EXPIRE key 60） - 返回状态码必须是
429 Too Many Requests，不能是503或重定向，否则 Composer 会重试甚至降级到其他镜像
单纯按 IP 限频没用，得结合行为识别
攻击者用代理池、Botnet 或伪造 User-Agent，几秒内就能绕过 100 次/分钟 的 IP 限频。真正要盯的是请求模式：
- 高频请求同一路径（如反复拉
/p2/vendor/package/dev-master.json） - 大量 404 响应（扫包名、版本号试探）
- User-Agent 为空、含爬虫特征（如
python-requests、curl/7.68）但无合法Accept头 - 请求头缺失
Cache-Control或Connection: keep-alive
OpenResty 可配合 ngx.var.args 和 ngx.var.request_uri 提取特征，再用 Redis Hash 存储每个 IP 的行为计数器（如 behav:ip:{ip}:404_count），超过阈值直接 ngx.exit(429)。
镜像服务端配置漏掉这三项，等于没防
即使写了 Lua 脚本，以下三项配置缺一不可：
-
lua_shared_dict rate_limit 10m;：声明共享内存字典，用于跨 worker 进程同步限流状态（仅当不用 Redis 时才依赖它） -
access_by_lua_block { ... }必须放在location /块内，且优先级高于try_files或proxy_pass，否则请求已转发到后端才检查 - Redis 连接超时必须设短（如
set_timeout(100)），避免 Lua 卡死拖垮整个 Nginx worker
最容易被忽略的是：限流 Key 设计没隔离 Composer 特定路径，结果把正常 /dist/xxx.zip 下载也限了——必须用 ngx.var.request_uri:match("^/p2/.*%.json$") 等条件过滤，只对元数据接口生效。
