最有效轻量的保护方式是在proxy_pass前启用限流；需将limit_req置于location中且位于proxy_pass之前，按接口脆弱性分级配置速率与突发值，并叠加limit_conn防慢速攻击，必要时结合token或白名单增强限速维度。
直接在 proxy_pass 前启用限流，是最有效、最轻量的保护方式。Nginx 的限流模块（ngx_http_limit_req_module）天然支持与反向代理协同工作，关键在于“位置”和“粒度”——限流必须落在请求进入后端前的路径上，且按业务风险分级配置。
一、基础结构：限流必须放在 proxy_pass 之前
限流指令必须写在 location 块中，且位于 proxy_pass 之前，否则不会生效：
- 正确写法：先限流，再转发
limit_req zone=login_limit burst=3 nodelay;
limit_req_status 429;
proxy_pass http://auth_backend;
}
- 错误写法：限流写在 proxy_pass 后，Nginx 会忽略
-
原理说明：Nginx 请求处理阶段中，
limit_req属于access_phase，而proxy_pass属于content_phase；顺序错则限流不触发。
二、按接口脆弱性差异化配置
登录、短信、支付等接口响应慢、逻辑重、易被爆破，必须单独设严限流，不能和普通查询共用一套规则：
-
/api/login：每分钟最多 5 次，突发允许 2 次 →rate=5r/m burst=2 nodelay -
/api/sms/send：每分钟仅 1 次，防刷码 →rate=1r/m burst=1 nodelay -
/api/v1/search：每秒 20 次，允许缓冲 →rate=20r/s burst=40（去掉nodelay可平滑排队）
所有规则都需在 http 块中预先定义对应 limit_req_zone，例如：
limit_req_zone $binary_remote_addr zone=sms_limit:10m rate=1r/m;
三、叠加连接数限制，防慢速攻击
仅控请求数不够——攻击者可用少量长连接持续占满后端线程（如 Slowloris）。需补充并发连接限制：
- 在相同
location内添加：limit_conn conn_per_ip 5; - 配合定义：
limit_conn_zone $binary_remote_addr zone=conn_per_ip:10m; - 效果：单个 IP 最多维持 5 个活跃连接，超出会返回 503，直接切断 TCP 连接
四、绕过 IP 限流的增强手段
当攻击者使用代理池或 CDN，IP 限流失效时，可结合后端协作升级限速维度：
-
Token/用户级限速：Nginx 提取请求头中的
X-Auth-Token或Authorization，用map构建限流 key（需后端确保 token 可解析） -
白名单豁免：运维、监控、内部系统 IP 不参与限流，用
geo + map实现动态 key 空值（key 为空则跳过限流） -
日志联动告警：开启
limit_req_log_level notice，配合 ELK 或 Prometheus 抓取 429 日志，自动识别高频异常源
