ThinkPHP前后端分离下接口限流不生效的核心原因是限流中间件位置错误——必须置于CORS中间件之后、路由匹配之后、控制器执行之前；同时需确保路由显式绑定控制器、IP穿透代理、Redis缓存驱动启用且键名带命名空间。
ThinkPHP前后端分离下接口限流不生效，核心原因不是“没配”，而是限流逻辑没落在正确位置——它必须在跨域预检（OPTIONS）、路由匹配之后、控制器执行之前拦截请求，否则要么被CORS中间件绕过，要么被JSON响应逻辑干扰，甚至根本没触发。
检查限流是否被跨域中间件屏蔽
前后端分离必用CORS，但很多项目把 Cors::class 放在全局中间件最前面，导致 OPTIONS 请求直接返回 204，而限流中间件压根没机会执行。限流必须在 CORS 之后、路由解析之后生效。
- 打开
app/middleware.php，确认限流中间件（如Throttle::class或自定义TokenBucketRateLimit）排在Cors::class之后 - 若使用
think-cors，它默认只放行 OPTIONS，不阻断后续中间件；但手写 CORS 中间件若用了return $response提前退出，就会跳过限流 - 验证方式：临时注释掉 CORS 中间件，调用接口看限流是否生效；若恢复后失效，说明顺序或逻辑有冲突
确认路由绑定方式支持限流
前后端分离常用 API 路由分组（如 Route::group('api', ...)），但 ThinkPHP 的 throttle 中间件只对「显式绑定控制器方法」的路由生效，闭包路由、资源路由未绑定、或 Route::any() 均不触发。
- 错误写法：
Route::any('api/login', function() { ... });→ 限流中间件不会运行 - 正确写法：
Route::post('api/login', 'Api/Login.login')->middleware(Throttle::class, ['visit_rate' => '5/60s']); - 更推荐分组绑定：
Route::group('api', function () { Route::post('login', 'Api/Login.login'); })->middleware('throttle:5,60'); - 注意：TP8 中
throttle:5,60表示每 60 秒最多 5 次，单位是秒，不是分钟
IP 获取必须穿透反向代理
前后端分离通常部署在 Nginx 后，$request->ip() 默认返回 127.0.0.1，所有请求共用一个限流桶，形同虚设。
立即学习“PHP免费学习笔记（深入）”；
- Nginx 配置必须透传真实 IP：
proxy_set_header X-Real-IP $remote_addr;和proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; - PHP 层只信任
X-Real-IP：$ip = $request->header('x-real-ip') ?: $request->ip(true);——true参数启用可信代理解析 - 绝对不要用
$_SERVER['REMOTE_ADDR']，CDN 或多层代理下会拿到节点 IP - 可在中间件开头加日志：
Log::info("Client IP: {$ip}, Route: {$request->rule()}");实时验证取值是否合理
缓存驱动必须用 Redis，且连接有效
限流依赖原子计数，而 file 缓存无法并发安全，memcached 不支持 Lua 脚本，只有 Redis 能支撑令牌桶等高可靠策略。
- 检查
config/cache.php中'default' => 'redis'，并确认config/redis.php连接参数正确（host、port、auth、select） - TP8 中
Cache::store('redis')会封装 pipeline，破坏 Lua 原子性；必须用原生实例：Container::getInstance()->get('cache')->handler() - 执行
php think run或访问/debug页面，查看 Redis 连接状态是否为 “connected” - 键名需带命名空间和维度隔离，例如：
rate:api:login:192.168.1.100，避免不同接口或用户混用同一 key
