最可靠滑动窗口限流方案是ThinkPHP 6中用Redis Facade调用ZSET+Lua脚本：通过ZREMRANGEBYSCORE剔除过期项、ZCARD统计、ZADD插入毫秒级时间戳，全程原子执行，避免LIST方案的并发漏判与精度问题。
直接用 ThinkPHP 6 的 Redis Facade + Lua 脚本实现滑动窗口限流，是目前最可靠、原子性最强的方式。单纯靠 INCR + EXPIRE 是固定窗口，扛不住边界突刺；用 LIST 手动维护时间戳容易在并发下漏判或误判；只有 ZSET + Lua 才能真正实现毫秒级滑动窗口。
为什么必须用 ZSET 而不是 LIST
LIST 方案（如 lPush/rPop）看似简单，但存在两个硬伤：
- 无法精确剔除「窗口外」的请求：比如窗口是 60 秒，但
rPop只能删尾部，而尾部时间戳可能仍在窗口内，导致计数虚高 - 并发时
lLen→lIndex→rPop非原子，两次请求可能读到同一长度、取到同一旧时间戳，结果双双放行
ZSET 天然支持按 score（时间戳）范围删除：ZREMRANGEBYSCORE 一条命令干掉所有过期项，再 ZCARD 统计，全程可封装进 Lua 原子执行。
ThinkPHP 6 中必须写的 Lua 脚本
把限流逻辑写死在 Redis 端，避免网络往返和客户端时钟误差。脚本接收 4 个参数：KEYS[1]（限流 key）、ARGV[1]（当前毫秒时间戳）、ARGV[2]（窗口大小，单位毫秒）、ARGV[3]（阈值）。
立即学习“PHP免费学习笔记（深入）”；
local window_start = tonumber(ARGV[1]) - tonumber(ARGV[2])
redis.call('ZREMRANGEBYSCORE', KEYS[1], '-inf', window_start)
local count = redis.call('ZCARD', KEYS[1])
if count < tonumber(ARGV[3]) then
redis.call('ZADD', KEYS[1], ARGV[1], ARGV[1] .. ':' .. math.random(1000, 9999))
redis.call('PEXPIRE', KEYS[1], tonumber(ARGV[2]) + 1000)
return 1
else
return 0
end注意三点：
-
ARGV[1] .. ':' .. math.random(...)是为防止相同时间戳导致 value 冲突（ZADD会覆盖），实际可用uniqid()替代 -
PEXPIRE设为window_size + 1000毫秒，确保窗口内最后一条数据过期后，key 还有缓冲期被自动清理 - 不要用
EXPIRE（秒级），必须用PEXPIRE（毫秒级），否则 1 秒内多次请求可能因精度丢失误判
ThinkPHP 6 中间件里调用示例
在 app/middleware/RateLimitMiddleware.php 中写：
use think\facade\Cache;
use think\facade\Log;
<p>public function handle($request, \Closure $next)
{
$ip = $request->ip();
$uri = $request->url(true);
$key = 'rate:sliding:' . md5($ip . '|' . $uri); // 区分 IP+接口</p><pre class='brush:php;toolbar:false;'>$nowMs = round(microtime(true) * 1000);
$windowMs = 60 * 1000; // 60秒窗口
$maxReq = 100;
$luaScript = file_get_contents(app()->getAppPath() . 'extra/rate_limit_sliding.lua');
$result = Cache::store('redis')->handler()->eval($luaScript, [$key], [$nowMs, $windowMs, $maxReq]);
if ($result == 0) {
return json(['code' => 429, 'msg' => '请求过于频繁'])->code(429);
}
return $next($request);}
关键点：
-
Cache::store('redis')->handler()是获取原生Redis实例的唯一正路，think\cache\driver\Redis底层就是phpredis - Lua 脚本建议单独存为
app/extra/rate_limit_sliding.lua，别硬编码在 PHP 里，方便复用和调试 -
md5($ip . '|' . $uri)避免 key 名过长或含非法字符；若需更细粒度（如用户 ID），可替换为$request->userId() ?? $ip
上线前必须验证的三个坑
滑动窗口限流最容易在线上翻车的地方就这三个：
- 服务器时间不同步：所有节点必须 NTP 校时，否则
microtime(true)返回值偏差 > 窗口大小，直接失效 - Redis 版本低于 2.6：Lua 支持从 2.6 开始，低版本会报
ERR unknown command `eval` - 未设置
maxmemory-policy：大量限流 key 持续写入，若 Redis 内存满且策略是noeviction，后续ZADD会失败并返回错误，必须设为allkeys-lru或类似策略
滑动窗口的核心不在“怎么写”，而在“怎么让时间戳可信、让 Lua 原子、让 key 生命周期可控”。少踩一个，线上就不会出现 0.02 秒内 200 次请求打穿服务的情况。
