Laravel需用命名限流器role_based动态实现角色限流：游客每分钟5次、普通用户10次、VIP用户100次、管理员不限流；必须用Limit::none()而非perMinute(0)，并通过throttle:role_based中间件启用，同时确保User模型role属性可访问且清除Redis缓存键。
要让Laravel API对普通用户限流每分钟10次、VIP用户每分钟100次、管理员不限流，不能靠硬编码中间件参数，必须用命名限流器动态生成配额——否则每次改策略都要翻路由文件，且无法响应用户角色实时变更。
注册基于角色的限流策略
打开 app/Providers/RouteServiceProvider.php，在 configureRateLimiting() 方法内添加以下代码：
先引入必要类：
use Illuminate\Cache\RateLimiting\Limit;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\RateLimiter;
然后注册名为 role_based 的策略：
RateLimiter::for('role_based', function (Request $request) {
$user = $request->user();
if (!$user) {
return Limit::perMinute(5)->by($request->ip()); // 游客严格限制
}
switch ($user->role) {
case 'admin':
return Limit::none(); // 管理员不限流，注意不是 perMinute(0)
case 'vip':
return Limit::perMinute(100)->by($user->id);
default:
return Limit::perMinute(10)->by($user->id);
}
});
【关键点】必须用 Limit::none() 表示不限流，写成 perMinute(0) 会导致整个限流逻辑崩溃，请求直接被拦截。
在API路由中启用该策略
确保你的 API 路由已包裹在 api 中间件组中（检查 app/Http/Kernel.php 的 $middlewareGroups['api'] 是否包含 throttle:api）。
在路由定义中显式调用命名策略：
Route::middleware(['api', 'throttle:role_based'])->group(function () {
Route::get('/dashboard', [DashboardController::class, 'index']);
});
不要写成 throttle:60,1 这类硬编码形式——它会绕过你刚注册的 role_based 策略，导致角色判断完全失效。
验证角色字段是否可安全访问
第一步：确认 User 模型中存在 role 属性或访问器。若使用数据库字段，需确保迁移已执行：
php artisan migrate
第二步：若 role 来自关联表或 JSON 字段，必须在 User 模型中定义 getRoleAttribute() 访问器，否则 $user->role 返回 null，所有登录用户都会掉入 default 分支。
第三步：测试未登录请求是否命中游客逻辑——发起不带 Token 的 GET 请求，检查响应头 X-RateLimit-Limit 是否为 5。若仍是 60，说明 throttle:api 默认策略仍在生效，你漏掉了中间件组配置或路由未走 api 组。
强制刷新限流缓存键
开发时修改策略后，Redis 中旧 key 可能残留导致行为不一致。执行命令清除相关缓存：
redis-cli --scan --pattern "throttle:*" 查看当前所有限流 key
定位到形如 throttle:role_based:123 或 throttle:role_based:guest_192.168.1.100 的 key 后，逐个删除：
redis-cli del "throttle:role_based:123"
这一步不做，你看到的限流效果可能是上一版策略的残留结果，而非当前代码的真实行为。
