如何配置 limit_req_zone 结合 $request_uri 实现针对特定静态路径的高频防护-Nginx-PHP中文网

使用$request_uri配合limit_req_zone可对带参静态资源路径精准限流，因其保留完整原始URI（含query string），避免$uri去参导致的漏控；配置需在http块定义zone并设rate与burst，location中启用且推荐组合$binary_remote_addr增强精度。

如何配置 limit_req_zone 结合 $request_uri 实现针对特定静态路径的高频防护

直接用 $request_uri 配合 limit_req_zone，就能对特定静态路径（比如 /static/js/app.min.js、/images/banner.jpg）做精准限流，防止被恶意刷资源、拖垮带宽或触发源站压力。

为什么选 $request_uri 而不是 $uri？

$request_uri 保留完整原始请求路径（含 query string），比如 /logo.png?v=2.1.0 和 /logo.png?v=2.1.1 会被视为两个不同 URI；而 $uri 自动去除参数，两者会归为同一个 key。防刷静态资源时，带参 URL 很常见（缓存绕过、AB 测试等），用 $request_uri 更严谨，避免漏控。

基础配置写法（放在 http 块中）

在 nginx.conf 的 http{...} 区域添加：

limit_req_zone $request_uri zone=static_uri:10m rate=5r/s;

zone=static_uri:10m：分配 10MB 共享内存，足够存约 16 万个不同 URI 的计数状态
rate=5r/s：每个唯一 URI 每秒最多处理 5 次请求 —— 对图片、JS、CSS 这类静态资源已足够，远高于正常用户行为

在 location 中启用并控制突发行为

针对实际静态资源路径启用规则，例如：

location ~* \.(js|css|png|jpg|gif|ico|woff2?)$ {
    limit_req zone=static_uri burst=10 nodelay;
    expires 1y;
    add_header Cache-Control "public, immutable";
}

正则匹配常见静态后缀，确保只对真实资源生效
burst=10：允许单个 URI 短暂突发 10 次请求（比如页面首次加载触发多个资源请求），避免误伤
nodelay：不排队、不延迟，超限立即返回 503 —— 防止攻击者用慢速请求耗尽队列

进阶建议：组合 IP + URI 提升精度

若发现同一 URI 被多个 IP 同时高频请求（如 CDN 回源放大攻击），可改用组合 key：

limit_req_zone "$binary_remote_addr$request_uri" zone=ipuri_static:15m rate=3r/s;

内存占用略高，但能识别“IP A 刷 /a.js”和“IP B 刷 /a.js”为独立行为
rate 可适当调低（如 3r/s），因为组合维度天然更严格
仍建议搭配 burst=5 nodelay，兼顾可用性与防御强度

验证与调优提示

查看 Nginx error log，搜索 limiting requests 可确认拦截是否生效
用 ab -n 100 -c 20 http://your.site/logo.png 快速模拟并发，观察是否出现 503
如果业务有合法批量请求（如监控探针轮询某张图），可在对应 location 中加 limit_req off; 白名单绕过
zone 大小别设太小：10m 是安全起点；若日志报 zone is full，说明内存不够，需扩容