PHP 8.5本身不内置限流功能，需结合Redis 7+、Swoole 5+及框架能力实现：一、Redis固定窗口计数器（最简上线），键名rate:ip:{IP}，用INCR/EXPIRE控制每分钟请求；二、滑动窗口日志（ZSET+Lua脚本），精准防临界突增；三、令牌桶+加密防重放（timestamp|user_id|nonce+HMAC签名）；四、Laravel 11+/Symfony 7+直接集成throttle中间件或rate-limiter组件，支持动态键名与多缓存驱动。
用 Redis 实现固定窗口计数器（最简上线）
适合快速保护关键接口（如登录、注册），代码少、易验证、无依赖。核心逻辑：每个用户/IP 每分钟最多 N 次请求，超限返回 HTTP 429。
- 键名格式：
rate:ip:{$_SERVER['REMOTE_ADDR']}:或rate:user:{user_id}: - 每次请求执行：
$redis->incr($key)，首次调用时$redis->expire($key, 60) - 若返回值 > 限流阈值（如 10），立即中断并响应
http_response_code(429)
注意：PHP 8.5 中推荐用 Redis::class 而非过时的 redis_connect()；启用连接池或 Predis 异步客户端可提升高并发稳定性。
用滑动窗口日志防临界突增（精度更高）
解决固定窗口在整点翻倍的问题，适合支付、下单等敏感接口。依赖 Redis 的 ZSET 存储时间戳，每次请求用 Lua 脚本原子完成三件事：清理过期项、统计当前窗口请求数、插入新时间戳。
- 键名：
sliding:api:/order/create:{user_id} - 窗口设为 60 秒，阈值 30 次 → 脚本中
ZCOUNT key (now-60) now - 必须设置
ZREMRANGEBYSCORE key 0 (now-60)防止数据膨胀 - PHP 调用：
$redis->eval($lua, 1, $key)，避免多命令往返竞态
令牌桶 + 加密防重放（兼顾突发与安全）
既允许短时流量高峰，又杜绝令牌被截获后重复使用。不是单纯生成令牌，而是把 时效性 + 唯一性 + 签名 打包进一个加密字符串，服务端一次性校验并扣减计数。
立即学习“PHP免费学习笔记（深入）”；
- 令牌结构：
base64_encode(timestamp|user_id|nonce)，其中nonce = bin2hex(random_bytes(6)) - 签名必须用
hash_hmac('sha256', $data, $_ENV['TOKEN_KEY'])，密钥严禁硬编码 - 验证时先查 Redis 中
used:nonce:{nonce}是否存在（SETNX + EX 300），再执行限流计数 - 整个流程封装进一个 Lua 脚本，保证“验令牌 + 扣额度”原子执行
集成到 Laravel/Symfony 框架（省心维护）
如果你用的是主流框架，别重复造轮子。Laravel 11+（兼容 PHP 8.5）已强化 throttle 中间件，支持动态键名、多缓存驱动（Redis/Array/DynamoDB）：
- 路由中写：
->middleware('throttle:60,1,by=header:X-User-ID') - 自定义策略类可继承
Illuminate\Cache\RateLimiting\Limit，按用户等级返回不同阈值 - Symfony 7+ 推荐用
symfony/rate-limiter组件，支持内存、Redis、Doctrine 多种存储，且自动处理时区与时钟漂移
框架层做限流的好处是：自动注入 Response Header（X-RateLimit-Limit, X-RateLimit-Remaining），前端可感知余量，体验更友好。
