ThinkPHP 6 的 RateLimiter 必须依赖 Redis，不连 Redis 则限速失效；需正确配置 Redis 驱动、扩展版本及网络认证，并自定义 key 粒度、合理设置令牌桶参数，且中间件注册顺序须在跨域后、鉴权前。
ThinkPHP 6 中用 RateLimiter 做接口限速，必须配 Redis
不连 Redis，RateLimiter 组件在 ThinkPHP 6+ 里根本跑不起来——它底层依赖 Redis 存储令牌桶状态，内存或文件驱动不支持原子操作，会直接失效。
常见错误现象：RateLimiter::attempt() 总返回 false，但没报错；或者限速完全不生效，日志里也看不到被拦截记录。
- 确认
config/cache.php中默认缓存驱动是redis，且config/redis.php配置正确（尤其host、port、database） - 别用
phpredis扩展的旧版本（如 4.3.0 以下），某些eval脚本执行会失败，建议升到5.3.7+ - 测试时先用
redis-cli连上去敲ping，确保网络和认证没问题，再查KEYS rate:*看桶是否真写进去了
RateLimiter 的 key 构造规则决定限速粒度
ThinkPHP 默认用 $request->url(true) + $request->ip() 拼 key，意味着“每个 IP 访问每个完整 URL”单独计数。但多数场景要的是“某个接口路径统一限速”，比如所有 /api/v1/user/info 请求共用一个桶。
实操建议：
- 重写
app/middleware/RateLimitMiddleware.php中的getCacheKey()方法，把 URL 路径截断到路由名层级，例如用$request->rule()->getName()替代原始 URL - 如果按用户 ID 限速，确保登录态已解析（比如从 token 提取
uid），key 里拼上uid，但注意未登录请求得 fallback 到 IP，否则游客全被堵死 - 避免 key 过长或含特殊字符，
str_replace(['/', ':', '?'], '_', $key)预处理一下更稳妥
令牌桶参数设多少？看接口响应时间和并发预期
RateLimiter 的 $maxAttempts 和 $decayMinutes 不是拍脑袋定的。比如设成 100/minute，但接口平均耗时 2s，实际每分钟最多撑住 30 并发——桶还没填满就被掏空，用户会频繁看到 429 Too Many Requests。
关键判断点：
- 先压测单次接口耗时，再算理论吞吐：若 P95 耗时 800ms，1 分钟最多处理
60 / 0.8 ≈ 75次，$maxAttempts设 80 比设 100 更合理 -
$decayMinutes = 1是最常用，但突发流量场景可改用0.1（即 6 秒），让桶更快恢复，减少误杀 - Redis 中桶的过期时间由
$decayMinutes决定，不是 TTL 固定值，所以别手动用EXPIRE去调，会干扰算法
中间件注册顺序错了，限速就形同虚设
ThinkPHP 的中间件执行顺序直接影响 RateLimiter 是否能拦住非法请求。如果把它放在路由解析之后、权限校验之前，那未登录用户连 token 校验都没过，就已经被限速拦截了——这反而暴露了接口存在性。
正确姿势：
- 在
app/middleware.php中，把限速中间件放在AllowCrossDomain之后、CheckToken或Auth之前 - 如果是全局应用，确认
app/middleware.php的global数组里它排位靠前；如果是路由级，检查route/app.php中middleware数组顺序 - 调试时加一行日志：
Log::info('rate limit key: ' . $key);，对比实际触发的 key 和你预想的是否一致，能快速定位是不是中间件太晚才拿到完整请求上下文
Redis 连接不稳定时，RateLimiter::attempt() 会直接抛异常而非静默失败，这点容易被忽略——线上没捕获这个异常，整个接口就 500 了。
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
