Django默认REMOTE_ADDR在代理后不准，因Nginx/CDN将其替换为内网IP；需解析X-Forwarded-For取最左非私有IP，并校验SECURE_PROXY_SSL_HEADER防注入；滑动窗口应使用threading.Lock保障deque线程安全，定期清理过期IP，避免内存泄漏。
为什么直接用 django-ratelimit 不够用
因为它的默认后端只支持内存或 Redis，而生产环境常需按用户角色、API 路径前缀、甚至请求头字段做差异化限流；更关键的是，它不暴露当前剩余次数和重置时间，前端无法友好提示“还剩 2 次，15 秒后重试”。自定义中间件能精准控制这些细节。
怎么写一个带滑动窗口的 IP 限流中间件
别用简单的计数器（比如每分钟清一次），那会引发突发流量打穿阈值。滑动窗口靠记录每次请求时间戳来算“过去 60 秒内有多少次”，精度高且平滑。用 Python 的 collections.deque 存时间戳最轻量，不用引入 Redis 也能扛住中低并发。
- 在
middlware.py中定义类，继承BaseMiddleware或直接实现__call__ - 用
request.META.get("REMOTE_ADDR")取真实 IP（注意 Nginx 转发时要配X-Forwarded-For） - 每个 IP 对应一个
deque，存时间戳，最大长度设为限流阈值（如 10），超时自动弹出旧项 - 若
len(deque) >= 10，返回HttpResponseTooManyRequests，并在响应头加X-RateLimit-Remaining: 0和X-RateLimit-Reset: 1712345678
REMOTE_ADDR
- 在中间件里写个
get_client_ip()辅助方法，优先检查X-Forwarded-For - 用
ipaddress.ip_address()判断是否为私有地址（127.0.0.0/8、10.0.0.0/8、172.16.0.0/12、192.168.0.0/16） - 如果配置了
SECURE_PROXY_SSL_HEADER，还要确认HTTP_X_FORWARDED_PROTO是 https，防止 header 注入
内存泄漏和并发安全怎么处理
self.ip_requests 是实例变量，多线程下多个请求共用一个字典，deque 操作不是原子的——两个请求同时往同一个 IP 的 deque append，可能丢数据或报 IndexError。不能靠 Django 的线程模型侥幸。
python-flask-vue-creator
下载
创建 Flask + Vue.js 全栈项目，采用单端口架构、uv 依赖管理、结构化日志和生产级前端设计。当用户要求以下操作时触发：创建新的 Flask+Vue 项目、搭建 Web 应用、构建全栈 Python+Vue 应用、初始化 Flask Web 项目、设置单端口 Flask 前后端项目。触发词：新建项目、创建项目、搭建项目、Flask项目、Vue项目。
- 用
threading.Lock包裹对self.ip_requests[ip]的读写操作 - 定期清理字典：在中间件里加个计数器，每 1000 次请求扫描一次，删掉超过 24 小时没活动的 IP 条目
- 更稳妥的做法是改用
redis.Redis().zadd()+zremrangebyscore()，但那就得接受额外依赖
滑动窗口逻辑本身不难，难的是边界——IP 伪造、代理链、时钟漂移、长连接复用。上线前务必用 ab -n 100 -c 20 http://localhost/api/test/ 压测验证窗口行为是否符合预期。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
