Nginx的limit_req模块基于漏桶算法实现请求速率限制，需先在http块中用limit_req_zone定义共享内存区域（如zone=ip_limit:10m rate=5r/s），再在location中通过limit_req引用并配置burst、nodelay等参数控制突发流量与响应行为。
Nginx 的 limit_req 模块用于限制客户端单位时间内的请求数量，常用于防刷、保护后端服务或控制 API 调用频率。它基于漏桶（leaky bucket）算法实现，核心是定义“速率限制区域”（zone）和在 location 或 server 块中应用限制规则。
配置 limit_req_zone 定义限流区域
必须先在 http 块中使用 limit_req_zone 指令定义一个共享内存区域，用来存储每个 key（如客户端 IP）的请求计数状态：
http {
limit_req_zone $binary_remote_addr zone=ip_limit:10m rate=5r/s;
}说明：
-
$binary_remote_addr：作为 key，表示客户端真实 IP（二进制格式更省内存）；也可用$http_x_forwarded_for配合 real_ip 模块获取代理后的真实 IP -
zone=ip_limit:10m：定义名为ip_limit的共享内存区，大小为 10MB，足够存储约 16 万个 IP 的状态 -
rate=5r/s：限制速率为每秒最多 5 个请求（支持r/m，如30r/m表示每分钟 30 次）
在 location 中启用 limit_req 规则
在需要限流的 location 或 server 块中调用已定义的 zone：
location /api/ {
limit_req zone=ip_limit burst=10 nodelay;
proxy_pass http://backend;
}关键参数说明：
-
zone=ip_limit：引用前面定义的限流区域 -
burst=10：设置“突发容量”，即允许超出 rate 的请求数暂存于队列中（漏桶的桶容量），默认为 0 -
nodelay：不延迟处理 burst 内的请求（立即通过或直接拒绝），适合严格限速；若不加此参数，Nginx 会按 rate 匀速释放 burst 中的请求（例如 burst=10、rate=5r/s，则这 10 个请求会在 2 秒内匀速放行）
⚠️ 注意：未加 nodelay 时，burst 请求不会被拒绝，但可能因排队导致响应延迟；加了 nodelay 后，超出 rate + burst 的请求会直接返回 503 Service Temporarily Unavailable（可配合 limit_req_status 自定义状态码）。
高级用法：多维度限流与白名单绕过
可结合 map 指令实现更灵活的限流策略，例如对登录用户放宽限制、对特定路径区别对待：
http {
map $http_authorization $limit_key {
"" $binary_remote_addr; # 未认证走 IP 限流
default $http_authorization; # 已认证按 token 限流（需确保 token 稳定）
}
<pre class='brush:php;toolbar:false;'>limit_req_zone $limit_key zone=auth_limit:10m rate=20r/s;
server {
location /api/ {
limit_req zone=auth_limit burst=20 nodelay;
}
}}
白名单绕过示例（如运维 IP 不限流）：
geo $limited {
default 1;
192.168.1.100 0; # 白名单 IP
2001:db8::1 0;
}
<p>map $limited $limit_key {
0 "";
1 $binary_remote_addr;
}</p><p>limit_req_zone $limit_key zone=skip_limit:10m rate=10r/s;</p><p>location /api/ {
limit_req zone=skip_limit burst=5;
}当 $limit_key 为空字符串时，limit_req 不生效（因 key 为空，不计入统计）。
验证与调试技巧
限流是否生效可通过日志和响应头观察：
- 开启
limit_req_log_level和limit_req_status方便排查：limit_req_log_level error;（默认 warn，设为 error 可减少日志量）limit_req_status 429;（将限流响应码改为标准的 429 Too Many Requests） - 检查 access log 中的
$status字段，看到大量 429 或 503 即说明触发限流 - 用
ab或wrk快速压测验证，例如：wrk -t2 -c100 -d10s http://your-domain/api/test
注意：测试时建议关闭浏览器缓存或使用 curl 加 -H "Cache-Control: no-cache"，避免缓存干扰结果。
