Nginx limit_req模块基于漏桶算法实现接口限流，需先在http块中用limit_req_zone定义共享内存区（如zone=api_limit:10m rate=5r/s），再在location中用limit_req引用该zone并设置burst、nodelay等参数生效。
Nginx 的 limit_req 模块是实现接口请求限流最常用、最高效的方式，无需改业务代码，直接在入口层控制流量。它基于漏桶算法，能平滑突发请求，防止暴力破解、爬虫刷量或秒杀洪峰打垮后端。
必须分两步走：先定义规则，再启用规则。缺一不可，顺序不能错。
第一步：在 http 块中定义限流区域（limit_req_zone）
这个指令只能写在 `http { ... }` 大括号内，写到 `server` 或 `location` 里会报错：“directive is not allowed here”。示例配置：
http {
limit_req_zone $binary_remote_addr zone=api_limit:10m rate=5r/s;
}-
$binary_remote_addr：用客户端 IP 的二进制格式做键，比$remote_addr更省内存； -
zone=api_limit:10m：声明一个叫api_limit的共享内存区，大小 10MB（约可存 16 万 IP 的计数状态）； -
rate=5r/s：每个 IP 每秒最多处理 5 个请求；也支持rate=10r/m（每分钟 10 次），适合短信验证码等场景。
注意：如果服务面向百万级用户，又设了极低速率（如 0.2r/s），10m 内存可能很快被占满，新 IP 就无法被记录——此时限流实际失效。可按需调大，比如 20m 或 50m。
linux-sysadmin
下载
Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...
第二步：在 location 或 server 块中启用限流（limit_req）
把上一步定义的 zone 绑定到具体路径，才算真正生效。示例（限制 /api/ 接口）：
location /api/ {
limit_req zone=api_limit burst=15 nodelay;
proxy_pass http://backend;
}-
zone=api_limit：引用前面定义的区域； -
burst=15：允许最多 15 个请求暂存在“缓冲队列”里（相当于漏桶容量）； -
nodelay：队列里的请求不排队等待，有令牌就立刻放行；没令牌则直接返回 503；
不加nodelay时，超速请求会被延迟转发，用户可能感知卡顿甚至超时。
其他实用选项：
-
limit_req_status 429;：把默认的 503 改成更语义化的 429 Too Many Requests； -
limit_req_log_level warn;：把限流日志级别提到 warn，方便排查； - 若只想对特定 User-Agent 或 Referer 限流，可配合
map指令动态生成 key。
第三步：验证与调试
- 执行 `nginx -t` 确保配置语法正确，再 `nginx -s reload` 生效； - 用 `ab -c 20 -n 100 http://your-domain/api/test` 或 `wrk -t4 -c100 -d10s http://your-domain/api/test` 模拟并发，观察响应状态和延迟； - 查看 Nginx error 日志（默认 `/var/log/nginx/error.log`），确认是否出现 `limiting requests` 相关记录； - 启用 `stub_status` 模块可实时查看连接与请求统计（需编译支持并配置 `location /nginx_status`）。常见误区提醒
- 把 `limit_req_zone` 错误地写进 `location`，配置能 reload 成功但完全不生效； - 多个 `server` 块里重复定义同名 `zone`（如都写 `zone=ip_limit:10m`），Nginx 启动会失败； - `burst` 不是“放宽限速”，而是“允许缓存多少个等处理的请求”，超出 `burst` 的请求才会被拒绝； - 单纯靠 `limit_req` 无法防慢速攻击，需搭配 `limit_conn` 控制并发连接数，尤其对长连接或后端响应慢的接口。不复杂但容易忽略。
