PHP限流必须用Redis原子操作实现令牌桶，禁用sleep()和数据库；需IP与账号双维度限流，配合降级策略防Redis故障。
PHP里用Redis实现令牌桶限流，比sleep()靠谱得多
直接上结论：别用 sleep() 或时间戳简单计数做限流，它扛不住并发请求，也防不住分布式场景下的暴力破解。真正有效的 PHP 限流必须依赖原子操作存储，Redis 是最常用、最稳妥的选择。
核心思路是用 Redis 的 INCR + EXPIRE 组合模拟令牌桶，或者直接用 CL.THROTTLE（Redis 6.2+）。下面以兼容性更广的 INCR 方式为例：
- 每次请求先
INCR一个带过期时间的 key，比如rate:ip:192.168.1.100 - 如果返回值 ≤ 允许请求数（如 5），放行；否则拒绝（HTTP 429）
- 首次
INCR后立刻EXPIRE，确保窗口重置（注意：要用EVAL或管道保证原子性）
示例片段（使用 redis 扩展）：
$key = 'rate:ip:' . $_SERVER['REMOTE_ADDR'];
$limit = 5;
$window = 60; // 秒
$redis->multi();
$redis->incr($key);
$redis->expire($key, $window);
$result = $redis->exec();
$current = $result[0];
if ($current > $limit) {
http_response_code(429);
exit('Too Many Requests');
}
为什么不能只靠 $_SESSION 或数据库做限流
Session 限流看着简单，但实际在暴力破解场景下基本失效——攻击者根本不用维持 session，每次换 User-Agent 或 Cookie 就绕过了。数据库写入太慢，高并发下容易成为瓶颈，还可能因事务或锁引发雪崩。
-
$_SESSION依赖客户端 Cookie，无状态请求（如 curl 直接调登录接口）完全无效 - MySQL 单次
INSERT ... ON DUPLICATE KEY UPDATE虽可计数，但 QPS 过 300 就开始延迟飙升 - 即使加了索引，
WHERE ip = ? AND created_at > DATE_SUB(NOW(), INTERVAL 1 MINUTE)这类查询仍易触发全表扫描
结论：限流的存储层必须满足「毫秒级响应 + 原子递增 + 自动过期」，Redis 天然符合；其他方案都是妥协。
登录接口限流要区分「IP」和「账号」两个维度
只按 IP 限流？代理池一打就穿。只按账号限流？攻击者拿 100 个手机号轮询注册再爆破，照样有效。真实防御必须双管齐下。
- 第一层：IP 维度，限制每分钟最多 10 次任意登录请求（防扫号）
- 第二层：username 维度，限制每小时最多 5 次失败尝试（防撞库）
- 触发任一层阈值后，可临时将该 IP + username 组合加入黑名单 key，比如
block:ip_user:192.168.1.100:admin，设 TTL 15 分钟
注意：用户名需标准化处理（小写、trim、过滤空格），否则 Admin 和 admin 会被当成两个账号。
Rate Limiting 头怎么加才不被绕过
加 X-RateLimit-Limit 这类响应头只是“提示”，不参与控制逻辑，纯属用户体验优化。真正起作用的是服务端判断和拦截。但如果你要加，得注意两点：
- 不要暴露精确剩余次数（如
X-RateLimit-Remaining: 0），这等于告诉攻击者“再试一次就解锁”，应统一返回0或随机小值 - 不要用
Date头推算重置时间，攻击者可篡改本地时间；应通过X-RateLimit-Reset返回服务器时间戳（int 秒级） - Header 值必须由服务端生成，绝不能从用户输入（如
$_GET['debug']）拼接，防止 CRLF 注入
限流不是加几个 header 就完事，关键路径上没原子判断，header 再规范也没用。最容易被忽略的是：没对 Redis 连接失败做降级处理——当 Redis 挂了，你的限流逻辑不能直接放行，至少应回退到内存缓存（如 APCu）或拒绝策略（fail-close）。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
