可通过limit_req_zone配合可信X-User-ID头实现按真实用户限速：上游鉴权后注入该头，Nginx仅接收内网来源并清洗无效值，再基于$user_key定义zone，结合burst/nodelay策略分场景限速，并通过日志与测试验证效果。
可以通过 limit_req_zone 指令配合自定义请求头（如 X-User-ID）来实现按真实用户维度的静态限速，关键在于让 Nginx 能稳定、可信地提取用户标识，并避免被客户端伪造干扰。
确保用户标识真实可靠
直接信任客户端传来的 X-User-ID 有安全风险。应在上游服务（如 API 网关或认证中间件）完成身份鉴权后，由后端注入可信头，再透传给 Nginx。Nginx 配置中应只从可信来源（如内网 upstream）接收该头，不开放外部直接设置权限。
- 在反向代理层（如 OpenResty 或 Spring Cloud Gateway）校验 JWT 或 session，解析出 user_id 后添加
X-User-ID: 12345 - Nginx 的 server 块中用
underscores_in_headers on;允许下划线头名（若需支持X-User-ID） - 禁用客户端随意设置该头：在入口 location 中用
map或if清除未授权来源的头（例如仅保留来自 10.0.0.0/8 的请求头）
定义基于用户 ID 的限速区域
使用 $http_x_user_id 作为 key 创建限速 zone，注意处理空值和非法值，防止 key 泛化导致限速失效或误伤。
- 在 http 块中定义：
其中 $user_key 是经清洗后的变量，例如：
- 用
map过滤空/无效值：
map $http_x_user_id $user_key {
"" "-";
~^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}$ "$http_x_user_id";
default "-";
} - 这样可排除空头、非法格式 ID，将异常请求统一归入 key "-"，便于单独监控或限流
在 location 中启用并控制行为
限速不是简单加一行 limit_req，需结合 burst、nodelay 和拒绝策略，适配业务场景。
- 对普通静态资源（如 /static/）启用宽松限速：
location ^~ /static/ {
limit_req zone=user_limit burst=10 nodelay;
...
} - 对敏感操作（如 /api/download）启用严格限速：
limit_req zone=user_limit burst=2 delay=1;（允许缓冲但限制突发） - 配合
limit_req_status 429和自定义错误页，返回 JSON 提示，避免暴露 Nginx 版本等信息
验证与可观测性
限速生效需验证 key 是否正确分组、速率是否符合预期，不能只看状态码。
- 开启
log_format记录$user_key和$limit变量：
log_format main '$remote_addr - $user_key [$time_local] "$request" $status $limit $limit_rate'; - 用
curl -H "X-User-ID: abc123" http://host/static/test.js多次触发，观察 access log 中同一 key 的请求数与限速窗口是否匹配 - 通过
nginx -T | grep limit_req_zone确认配置已加载，避免语法错误导致 zone 未生效
