ThinkPHP 8.0 接口限流需正确使用 throttle 中间件并注意三处细节：路由分组必须用字符串字面量（如 'v1'），限流 key 需手动标准化避免非法字符，推荐结合 Redis Lua 漏斗脚本实现高精度限流，并确保中间件顺序为 cors→throttle→auth。
ThinkPHP 8.0 设置接口请求频率限制，核心是使用内置的 throttle 中间件，配合 Redis 实现可靠限流。关键不在“加中间件”这一步，而在于路由分组方式、限流 key 构造、Redis 驱动兼容性这三处细节——漏掉任一环节都可能导致限流不生效或报错。
路由分组必须用字符串字面量
限流中间件需绑定到明确的路由分组，且分组标识必须是硬编码字符串：
- ✅ 正确写法：
Route::group('v1', function() { ... })->middleware('throttle:60,1'); - ❌ 错误写法：
Route::group(config('api.version'), ...)或Route::rule(':version/user', ...)
变量或 pattern 路由会导致路由缓存生成失败，开发环境看似正常，上线后整个分组路由 404，限流自然失效。控制器命名空间也必须与路由严格对应，例如 api/v1.User 对应 app/controller/api/v1/User.php，命名空间为 namespace app\controller\api\v1;。
限流 key 必须手动构造，避免非法字符
TP8 不再自动拼接 $request->url(true) . $request->ip() 作为 key，你得自己定义。常见错误是直接拼接 URL 路径和 IP，含 /、:、? 等符号：
立即学习“PHP免费学习笔记（深入）”；
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
- ❌ 危险 key：
rate:api/v1/user/info:127.0.0.1—— Predis 等驱动解析失败，限流静默失效 - ✅ 安全做法：统一替换非法字符为下划线，例如：
str_replace(['/', ':', '?'], '_', $request->url(true) . '_' . $request->ip())
建议在自定义限流中间件中完成 key 标准化，或在 throttle 中间件参数里传入预处理后的 key 前缀（如 throttle:60,1,api_v1_user），避免依赖默认行为。
推荐搭配 Redis 漏斗算法脚本（非简单计数）
TP8 默认的 throttle 基于 Redis 的 INCR + EXPIRE，属于简单令牌桶雏形；高精度场景建议手写 Lua 脚本实现漏斗（Leaky Bucket），支持平滑填充与瞬时突增控制：
- 脚本接收三个参数：容量（capacity）、每秒速率（rate_per_sec）、当前毫秒时间戳（now_ms）
- key 设计为
throttle:{标准化后的路由标识}:{IP}，例如throttle:api_v1_user_127_0_0_1 - 返回数组
[1, 剩余令牌数]表示放行，[0, 0]表示拒绝
该脚本可封装为自定义中间件，在 process() 方法中调用 Redis::eval() 执行，比默认中间件更可控、更抗并发刷量。
注意中间件执行顺序与作用域
限流应在鉴权之后、业务逻辑之前触发，否则未登录用户可能绕过限制；同时要确保它不被其他中间件提前终止（如 CORS 中间件若配置不当，可能拦截 OPTIONS 请求导致预检失败，间接影响限流统计）：
- 在路由定义中显式声明顺序：
->middleware(['cors', 'throttle:60,1', 'auth']) - 对带凭证（
credentials: include）的请求，CORS 的Access-Control-Allow-Origin不能为*，否则浏览器拒绝响应，限流日志里看不到实际请求数
