Laravel限流失效因key混入毫秒级时间戳导致每次请求key唯一——需删除now()等动态时间戳，改用设备ID与用户ID组合并md5哈希生成稳定key，再通过日志、attempts或Redis直查验证key一致性。
当Laravel限流器的key中混入毫秒级时间戳，会导致每个请求生成唯一key，计数器永远从0开始累加，限流完全失效——这种错误在自定义策略中高频出现，且线上难以排查。
识别动态时间戳污染的典型代码
打开 app/Providers/AppServiceProvider.php 的 boot() 方法，查找类似以下写法：
RateLimiter::for('api-by-device', function (Request $request) {<br> return Limit::perMinute(30)->by($request->header('X-Device-ID').'-'.now()->millisecond);<br>});
这行代码里 now()->millisecond 每次请求都变，key形如 abc123-456、abc123-789，Redis里存的是无数个独立桶，根本达不到限流效果。
修复方案：三步替换为稳定标识
第一步：删除所有含 now()、time()、microtime() 的拼接逻辑；
第二步：改用设备指纹+用户上下文组合，例如：$request->header('X-Device-ID').'-'.$request->user()?->id ?? 'guest'；
第三步：对组合结果做哈希归一化，防止特殊字符破坏缓存key结构：md5($stableKey)。注意：【md5()必须包裹完整拼接串，不能只哈希时间戳部分】，否则仍会残留不稳定性。
验证修复是否生效
方法一：在限流策略内临时插入日志：Log::info('Rate key used:', ['key' => $stableKey]);，发起连续请求，确认日志中key值不变；
方法二：调用 RateLimiter::attempts($key) 手动查当前计数，两次请求后数值应为2；
方法三：直接连Redis执行 GET rate_limit:xxx（xxx为日志中输出的key），观察value是否递增。
