ThinkPHP6接口限流不生效的根本原因是throttle中间件未激活：仅对显式绑定控制器的路由生效，Nginx未透传X-Real-IP导致IP识别为127.0.0.1，缓存驱动仍为file，且默认键名使所有接口共享计数器。
ThinkPHP6接口限流配置不生效，多数情况不是代码写错了，而是中间件没跑起来、IP取不准、缓存驱动不匹配或路由绑定方式不对——真正起作用的从来不是“加了throttle”，而是整个链路是否被正确激活。
确认throttle中间件是否真正执行
内置throttle中间件默认只对「显式绑定控制器方法」的路由生效。闭包路由、Route::any()、资源路由未绑定方法，它根本不会触发。
- 检查路由定义：必须是
Route::get('api/user', 'Api/UserController@index')这类写法，不能是Route::get('api/user', function(){}) - 若用资源路由，需确保
Route::resource('users', 'Api/User')在分组内注册，并统一加中间件：->middleware('throttle:60,1') - 全局启用中间件开关：确认
config/middleware.php中'use_global_middleware' => true已开启
验证IP识别是否真实有效
Nginx + PHP-FPM 架构下，$request->ip()默认返回127.0.0.1，所有请求被当成同一个IP计数，限流自然失效。
- Nginx 配置必须透传真实IP：
proxy_set_header X-Real-IP $remote_addr;和proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; - TP6 中优先信任
X-Real-IP头，在中间件里统一处理：$request = $request->withHeader('X-Real-IP', $request->header('x-real-ip')); - 避免直接用
X-Forwarded-For——它可被伪造；如需使用，必须在config/app.php中配置'trusted_proxies'白名单
检查缓存驱动与键名逻辑
限流依赖缓存计数，若驱动是file，高并发下因文件锁导致计数严重不准；若键名设计不合理，还会出现多个接口共用一个计数器。
立即学习“PHP免费学习笔记（深入）”；
- 生产环境必须切到
redis或memcached：config/cache.php中'default' => 'redis' - 默认键名是
throttle:ip:123.123.123.123，所有接口共享同一计数——如需按接口区分，第三个参数指定唯一后缀：throttle:30,1,user_login - 多级代理场景下，
X-Forwarded-For可能为逗号分隔字符串，中间件中要清洗，只取第一个公网IP
推荐改用自定义Redis限流中间件
内置throttle灵活性有限，且不支持原子计数。线上建议替换为基于Redis Lua脚本的自定义中间件，保证高并发下准确可靠。
- 键名带命名空间：
rate:api:login:192.168.1.100，避免冲突 - 必须用Lua脚本实现
INCR + EXPIRE原子操作，禁止单独调用incr()再expire() - 异常时也要返回标准
429 Too Many Requests响应，并带上Retry-After头 - 用户级限流优先解析
Authorization头提取user_id，比IP更精准
