在ThinkPHP5.1中实现接口限流，推荐使用Redis+滑动窗口算法，通过ZSET存储时间戳并动态清理过期记录，结合中间件统一拦截、配置文件灵活定义规则，并支持降级与可观测性增强。
在 ThinkPHP5.1 中实现接口限流，核心是控制单位时间内请求的访问频次，防止接口被恶意刷量或突发流量压垮服务。推荐使用「令牌桶」或「滑动窗口」算法，结合缓存（如 Redis）做状态存储，兼顾性能与准确性。
使用 Redis + 滑动窗口实现简单限流
滑动窗口适合统计最近 N 秒内的请求数，实现直观、易于理解，且对 Redis 压力较小。
- 在
app\common\service\RateLimit.php中封装限流逻辑，接收参数：key（如用户ID+接口路径）、maxCount（最大请求数）、windowSeconds（时间窗口秒数） - 使用 Redis 的
ZSET存储时间戳，每次请求插入当前毫秒时间戳，并移除窗口外的旧记录：ZREMRANGEBYSCORE key 0 (current_timestamp - window_ms) - 用
ZCARD获取当前窗口请求数，≤ maxCount 则放行，否则返回 429 Too Many Requests - 注意设置 key 过期时间（如
EXPIRE key window_seconds + 1），避免 ZSET 持久堆积
通过中间件统一拦截限流请求
将限流逻辑解耦到中间件中，便于复用和按需启用。
- 执行
php think make:middleware CheckRateLimit创建中间件 - 在
handle()方法中解析当前路由或闭包参数，生成唯一限流 key（例如：'api:' . $request->ip() . ':' . $request->url(true)） - 调用限流服务判断是否允许通过；拒绝时可自定义响应：
return json(['code'=>429,'msg'=>'请求过于频繁'],429) - 在
app\route\route.php中为指定分组或路由绑定中间件，如：Route::group('api', function(){...})->middleware(CheckRateLimit::class);
配合配置文件灵活控制不同接口策略
避免硬编码，把限流规则抽离到配置中，便于运维调整。
立即学习“PHP免费学习笔记（深入）”；
- 新建
config/ratelimit.php，定义数组映射关系，例如：[<br> 'api/user/info' => ['max_count'=>10, 'window_seconds'=>60],<br> 'api/order/create' => ['max_count'=>5, 'window_seconds'=>30]<br>]
- 中间件中根据
$request->path()查找匹配规则；未匹配则走默认策略（如全局每分钟 100 次） - 支持通配符（如
'api/*'）可用fnmatch()简单匹配，或引入更严谨的路由模式解析
补充建议与注意事项
实际落地时还需关注可观测性与容错能力。
- 限流命中时建议记录日志（如 IP、接口、触发时间），方便排查异常调用源
- Redis 不可用时应降级为「本地计数器」（如使用 PHP 的 APCu 或 static 变量），仅作尽力限流，避免雪崩
- 对登录态用户可基于
$request->uid限流，对游客可基于 IP + User-Agent 组合哈希，提升识别精度 - 前端可在响应头中加入
X-RateLimit-Remaining和X-RateLimit-Reset，增强客户端友好性
