直接修改nginx配置是唯一可靠方式，需在http块中定义limit_req_zone，在location中配置limit_req，burst和nodelay参数控制突发请求处理，旧版tengine不支持if=需确认版本≥1.13.6。
直接改 Nginx 配置是唯一靠谱方式
宝塔面板的「访问限制」页面里根本找不到“每秒请求数”这种选项，所谓“单IP限制”实际是60秒内总次数（比如5次），不是QPS控制。真要限频，必须手写 limit_req_zone 和 limit_req，没别的路。
- 在站点配置文件的
server块顶部加：limit_req_zone $binary_remote_addr zone=perip:10m rate=5r/s; - 在
location / {}里加：limit_req zone=perip burst=10 nodelay; - 改完一定要点「保存」+「重载配置」，不是重启Nginx；重启会中断服务，重载不会
-
burst=10表示允许突发10个请求排队，nodelay让它们立刻通过（否则会延迟响应）；线上建议先设burst=20，再看error.log有没有大量limiting requests报错
按 UA 或特定路径限流得用 map 指令
想只封爬虫、或只限 /api/login 接口，光靠 $binary_remote_addr 不行，得先用 map 提取特征变量。但要注意：旧版 Tengine（宝塔7.8及更早自带版本）不支持 if= 参数，加了会报 unknown directive "limit_req" 或直接忽略。
- 检查 Nginx 版本：
nginx -v，确认 ≥ 1.13.6 才能用if= - 封 Googlebot 示例：
map $http_user_agent $is_googlebot { default 0; "~*Googlebot" 1; }，再配limit_req_zone $is_googlebot zone=botlimit:10m rate=1r/s;和limit_req zone=botlimit if=$is_googlebot; - 限某个接口，把
limit_req放到对应location /api/login {}块里，别塞进根location /
宝塔防火墙插件能图形化设置，但有授权门槛
如果你用的是专业版或企业版，装「宝塔防火墙」插件后，确实能在【CC防护】页直接填「单IP每秒请求数」，还带自动封禁功能。但它本质还是帮你生成并加载 Nginx 规则，底层没变，只是省了手写。
- 插件安装路径：【软件商店】→ 搜索「宝塔防火墙」→ 安装（需付费授权）
- 设置位置：安装后进【宝塔防火墙】→【CC防护】→ 开关打开 → 调「单IP每秒请求数」
- 注意它默认对全站生效，若只想控某几个接口，还得去【自定义规则】里手动加「按IP限速」并指定域名和路径
- 插件规则生效依赖「重启防火墙」，不是点保存就立刻起作用
别信 Shell 脚本扫日志封 IP 是实时限流
有人推荐写脚本每分钟分析 access.log，把1分钟内超200次的IP加进黑名单——这根本不是限流，是事后补救。攻击已经打完了，你才拉黑，用户该卡还是卡，服务器该扛压照样扛压。
- 典型命令：
awk '{print $1}' /www/wwwlogs/your-site.log | sort | uniq -c | sort -nr | head -20 - 这种方案适合做辅助审计，或配合 fail2ban 做长期行为分析，不能替代
limit_req - 真正要防CC，必须在请求进入Nginx第一刻就控住速率，而不是等它打满再反应
最常被忽略的一点：所有 limit_req_zone 必须写在 http 块里（也就是配置文件最外层），写在 server 或 location 里会报错；而 limit_req 必须写在 location 里，写在 server 里无效。这两个位置错一个，整个限流就白配。
