flask-limiter限流失效主因有四：key_func未正确设置导致共享计数器；redis连接配置错误却静默降级；rate string单位误写引发粒度偏差；429响应无业务提示。
Flask-Limiter 初始化时 key_func 不写对，限流就形同虚设
默认情况下 Flask-Limiter 用请求的完整 URL（含 query string）作为 key，但实际业务中常需按用户 ID、IP 或 API token 区分限流维度。如果没显式指定 key_func，所有用户共用一个计数器，导致“一人触发，全员受限”或“多人共享额度”。
常见错误写法：limiter.limit("100 per day") 直接装饰视图，没传 key_func；正确做法是明确提取识别依据：
- 按 IP 限流：
key_func=lambda: request.remote_addr - 按登录用户限流（假设
g.user_id已在 before_request 中设置）：key_func=lambda: g.user_id or "anonymous" - 按请求头中的 token 解析出 user_id：
key_func=lambda: get_user_id_from_token(request.headers.get("Authorization"))
注意：若 key_func 返回 None，Flask-Limiter 会 fallback 到默认 key，可能掩盖逻辑问题，建议兜底返回字符串如 "unknown"。
Redis 作为后端时，连接配置错一个参数就会静默失败
Flask-Limiter 默认使用内存存储（memory://），仅适用于单进程调试；生产必须切 Redis，但连接失败时不会抛异常，而是退化为无限制——你完全感知不到限流没生效。
关键检查点：
- URL 格式必须完整：
redis://:password@127.0.0.1:6379/1，密码含特殊字符要 URL 编码 - 确认 Redis 服务可连通且对应 db 存在（
/1表示 db 1） - 使用
redis.from_url()手动测试连接：import redis<br>r = redis.from_url("redis://localhost:6379/1")<br>r.ping() # 应返回 True - 初始化 Limiter 时显式传入
storage_uri，别依赖环境变量未设置时的默认值
@limiter.limit 装饰器里 rate string 写错单位，实际效果和预期差十倍
rate string 看似简单，但 “per second”、“per minute”、“per day” 的粒度差异极大，且不支持复数缩写（如 "10/sec" 无效，必须写 "10 per second"）。
典型误用与后果：
-
"100 per day"→ 实际是每 24 小时重置，不是自然日（00:00–23:59），对定时任务类接口容易误判 -
"10 per minute"→ 每 60 秒滚动窗口，不是整点分钟，连续请求会快速触顶 - 想实现“每分钟最多 10 次，且每秒不超过 1 次”，需叠加两个装饰器：
@limiter.limit("10 per minute")<br>@limiter.limit("1 per second")
注意：多个 @limiter.limit 会全部生效，任一超限即返回 429，不是取并集。
429 响应体没自定义，前端无法区分是限流还是其他错误
默认 429 响应只有空 body 和 X-RateLimit-Remaining 等 header，前端拿不到提示信息，容易误以为接口挂了。
务必覆盖 on_limit_exceeded 回调：
- 返回 JSON 提示：
def on_rate_limit_exceeded(e):<br> return jsonify({"error": "rate limit exceeded", "retry_after": e.retry_after}), 429 - 把
e.retry_after（单位秒）透出给前端做倒计时或禁用按钮 - 避免在回调里做耗时操作（如查 DB），它在每次限流触发时同步执行
真正难的是灰度控制：比如先对 10% 的请求启用限流，或对内部 IP 放宽阈值——这些得靠 key_func 动态返回不同速率字符串，而不是硬编码在装饰器里。
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
