Laravel如何做请求限速_Laravel API访问频率控制【说明】-Laravel-PHP中文网

Laravel限速中间件需显式配置在路由或控制器中，throttle:60,1表示每分钟60次（单位为分钟），支持小数如0.5即30秒；按用户限速用throttle:60,1,users；必须使用Redis等支持原子操作的缓存驱动；429响应应通过异常处理器统一返回结构化JSON。

laravel如何做请求限速_laravel api访问频率控制【说明】

Laravel 默认就带 throttle 中间件，不用装包，但得知道它绑在哪、怎么传参。它不是全局生效的，必须显式加到路由或控制器里。

常见错误是只写 throttle:60,1 却没注意这个“1”单位是分钟——结果发现每分钟只能调 60 次，但前端发了 3 个并发请求就直接 429，以为配置错了，其实是单位理解偏差。

默认 throttle 中间件用的是客户端 IP 做 key，所以同一局域网下多个用户（比如公司内网、校园网）会互相干扰；而登录用户本该按 user.id 限速，却没生效。

根本原因是没指定 $key 逻辑。Laravel 的 ThrottleRequests 中间件允许你传第三个参数作为 key 生成器，但文档里藏得深，新手基本跳过。

要按用户限速：用 throttle:60,1,users（users 表示用 Auth::id() 当 key）
要按 IP + 用户组合限速（更严格）：得自定义中间件，重写 resolveRequestSignature()
游客（未登录）走 users 会 fallback 到 IP，所以不会崩，但行为不透明——建议日志里打一句 request()->user() ? 'user:'.$user->id : 'guest:'.request()->ip() 看清实际 key

很多人本地开发用 file 缓存，上线切 Redis 后发现限速不生效，查日志也没报错。这是因为 throttle 中间件底层依赖缓存驱动的原子操作（如 incr、expire），而 file 缓存不支持原子递增，会静默降级为“每次请求都重置计数”，等于没限。

Laravel Cloud

Laravel Cloud（cloud.laravel.com）。此技能用于处理所有 Laravel Cloud 请求，包括搜索和读取数据。只要任务涉及 Laravel Cloud，即使用此技能。

下载

现象是：无论怎么刷接口，永远不返回 429；或者偶尔触发，但阈值完全不准。

检查缓存驱动：config/cache.php 中 'default' => env('CACHE_DRIVER', 'redis') 必须是 redis 或 memcached
Laravel 9+ 默认用 cache.store，但 throttle 显式用了 cache.rate_limiter store，需确认 config/cache.php 里有对应配置
Redis 连接超时或认证失败时，Laravel 不抛异常，而是 fallback 到 array 驱动——务必在部署后跑一次 php artisan tinker 手动测 Cache::store('rate_limiter')->increment('test')

默认返回的是纯文本 Too Many Requests，没有 JSON 结构、没剩余额度、没重试时间戳，前端只能干等或硬编码 retry-after。这不是体验问题，是接口契约缺失。

真正该做的是覆盖 ThrottleRequests 的响应逻辑，而不是在每个控制器里重复处理。

在 app/Exceptions/Handler.php 的 render() 方法里判断 $exception instanceof ThrottleRequestsException
手动读取响应头里的 Retry-After 和 X-RateLimit-Limit，拼成 JSON 返回
注意：不要改 Illuminate\Routing\Middleware\ThrottleRequests 类本身，它被框架锁定；要用中间件继承或异常渲染拦截
如果用了 Sanctum 或 Passport，token 过期和限速 429 容易混淆，建议在响应里加 "error": "rate_limit_exceeded" 字段明确区分