ThinkPHP用Redis限流不生效的核心原因是throttle中间件未对齐路由绑定、IP解析和缓存驱动三者：仅对显式绑定控制器的路由生效，file缓存驱动下Cache::inc()恒返回false，Nginx未透传X-Real-IP导致所有请求被视为同一IP。
ThinkPHP 用 Redis 限制接口访问频率，核心就一条：别信默认配置，throttle 中间件在大多数真实部署下根本不会生效——除非你已手动确认路由绑定、IP 解析、缓存驱动三者全部对齐。
为什么加了 throttle:60,1 却完全不限流
常见错误现象是请求照发不误，Network 面板里连 Retry-After 头都没有。根本原因有三个：
-
throttle中间件只对显式绑定控制器方法的路由生效，Route::get('api/user', function(){})或资源路由未指定@index的写法，压根不进中间件 - 缓存驱动仍是
file（config/cache.php 中'default' => 'file'），而Cache::inc()在 file 驱动下恒返回false，代码里又没处理这个分支，导致永远当成“首次访问” - Nginx 反代后
$request->ip()返回127.0.0.1，所有请求被当做一个 IP 计数；没配proxy_set_header X-Real-IP $remote_addr;，也没在 PHP 里 fallback 到可信头
手动用 Cache::inc() 实现每分钟 10 次限流
绕过中间件不可靠的问题，直接在控制器方法开头写逻辑，可控性强、调试直观。关键点不是“怎么写”，而是“键怎么拼、TTL 怎么设、失败怎么兜底”：
- 缓存 key 必须包含三要素：
ip+路径+时间窗口，例如：'rate_limit:'.$request->ip().':'.md5($request->path()).':'.date('Y-m-d H:i') - 时间窗口必须用
date('Y-m-d H:i')，不能用time()或microtime()，否则并发请求跨秒时会错位到两个窗口，导致计数翻倍 -
Cache::inc($key)在 Redis 驱动下是原子操作；但若返回false（Redis 连接失败 / 密码错误 / DB 编号错），必须立刻Cache::set($key, 1, 60)并继续判断，否则限流逻辑静默失效 - 别用
$request->rule()当 key 组成部分——闭包路由下它为空字符串，会导致所有闭包接口共享同一个计数器
Redis 原生命令比 PHP 封装更稳
当业务对精度和性能要求高（比如支付回调、短信发送），建议跳过 ThinkPHP Cache 层，直连 Redis 执行原子操作。两种可靠方式：
立即学习“PHP免费学习笔记（深入）”；
- 用 Lua 脚本封装计数+过期逻辑，通过
eval一次性执行，避免 get/inc/set 竞态。脚本里用redis.call("INCR", KEYS[1])+redis.call("EXPIRE", KEYS[1], ARGV[2])组合，ARGV[1] 传最大次数，ARGV[2] 传 TTL 秒数 - 如果 Redis 版本 ≥ 4.0 且已加载
redis-cell模块，直接调$redis->rawCommand('CL.THROTTLE', $key, 10, 60, 60)，返回数组第 0 项为 0 表示放行，为 1 表示拒绝，无需自己维护状态 - 注意：无论哪种方式，key 中都应避免纯 IP，可叠加用户 token（
$request->header('Authorization')解析后取 sub）或设备指纹，防止同一出口 IP 下多个用户互相干扰
真正难的从来不是“怎么写限流代码”，而是上线前是否验证过：Nginx 的 X-Real-IP 是否真透传、Redis 连接是否在超时后自动重连、Cache::inc() 失败时有没有日志告警——这些地方一漏，限流就形同虚设。
