Laravel API多版本限流需在RouteServiceProvider中为v1/v2分别注册独立策略：v1每分钟300次（按用户ID或IP兜底），v2每分钟60次（基于token哈希，无效token则按IP限5次/分钟），路由组须显式绑定throttle:api-v1/api-v2中间件，禁用重复auth中间件，并确保缓存驱动为Redis。
你需要为 Laravel API 的不同版本接口（如 v1/v2）设置独立的限流策略，避免新版接口因沿用旧版规则导致误限或漏限，同时确保 v1 接口保持宽松策略、v2 接口启用更严格的配额控制。
在 RouteServiceProvider 中注册多版本限流策略
打开 app/Providers/RouteServiceProvider.php，定位到 configureRateLimiting() 方法内部。
为 v1 接口定义宽松策略：每分钟 300 次，按用户 ID 或 IP 兜底，不校验 token 有效性，兼容遗留客户端。
为 v2 接口定义严格策略：每分钟 60 次，强制基于 Bearer Token 解析后的用户唯一标识，未携带有效 token 则直接按 IP 限流且阈值压至 5 次/分钟。
复制以下代码粘贴进该方法体：
use Illuminate\Cache\RateLimiting\Limit;<br>use Illuminate\Http\Request;<br>use Illuminate\Support\Facades\RateLimiter;
RateLimiter::for('api-v1', function (Request $request) {<br> return Limit::perMinute(300)->by($request->user()?->id ?: $request->ip());<br>});<br><br>RateLimiter::for('api-v2', function (Request $request) {<br> $token = $request->bearerToken();<br> if ($token && preg_match('/^[a-zA-Z0-9\-\_\.]+$/i', $token)) {<br> // 防止伪造 token 绕过，仅接受格式合规的 token 字符串<br> return Limit::perMinute(60)->by(hash_hmac('sha256', $token, config('app.key')));<br> }<br> return Limit::perMinute(5)->by($request->ip());<br>});
路由分组绑定对应限流中间件
进入 routes/api.php，找到已有的版本路由分组定义。
确保 v1 路由组显式使用 throttle:api-v1，而非硬编码 throttle:300,1 —— 否则后续策略调整需全局搜索替换，极易遗漏。
确保 v2 路由组显式使用 throttle:api-v2，且该分组**不包含** auth:api 中间件 —— 因为 v2 限流逻辑已内嵌 token 校验与 fallback，再叠加 auth 会导致重复解析、响应延迟增加。
示例写法：
Route::prefix('v1')->middleware(['api', 'throttle:api-v1'])->group(function () {<br> Route::get('/posts', [PostController::class, 'index']);<br>});<br><br>Route::prefix('v2')->middleware(['api', 'throttle:api-v2'])->group(function () {<br> Route::get('/posts', [PostV2Controller::class, 'index']);<br>});
验证限流是否按版本生效
第一步：确认缓存驱动已切换为 Redis。执行 php artisan tinker，输入 config('cache.default') → 必须返回 【redis】，否则 v2 的 token 哈希 key 将无法跨请求共享计数器。
第二步：测试 v1 接口限流。用 curl 连续发起 301 次请求：for i in {1..301}; do curl -s -o /dev/null -w "%{http_code}\n" http://localhost:8000/api/v1/posts; done | grep "429" | wc -l → 应输出 【1】，表示第 301 次触发限流。
第三步：测试 v2 接口无 token 场景。同样发起 6 次请求：for i in {1..6}; do curl -s -o /dev/null -w "%{http_code}\n" http://localhost:8000/api/v2/posts; done | grep "429" | wc -l → 应输出 【1】，验证 IP 兜底策略已激活。
第四步：测试 v2 接口带合法 token 场景。生成一个 Base64 编码的随机字符串作为模拟 token，发起 61 次请求 → 第 61 次应返回 429，证明 token 绑定限流生效。
