如何通过 limit_req_zone 结合 $binary_remote_addr 在极小内存下实施全局防护-Nginx-PHP中文网

$binary_remote_addr是小内存限流可行的前提，因其将ipv4固定为4字节、ipv6固定为16字节二进制存储，避免字符串开销，单key内存从36字节降至14字节；5mb zone在ipv4下可存约9.3万ip，混合环境仍超7万，足以应对cc攻击。

如何通过 limit_req_zone 结合 $binary_remote_addr 在极小内存下实施全局防护

用 limit_req_zone 配合 $binary_remote_addr，能在极小内存（比如 5–10MB）下实现稳定、可扩展的全局防护——关键不是堆内存，而是压单条记录的开销。

为什么 $binary_remote_addr 是小内存可行的前提

普通 $remote_addr 存的是字符串，IPv4 地址如 "192.168.1.1" 占 11 字节，IPv6 可达 39 字节，还要加指针、对齐、空终止符等管理开销；而 $binary_remote_addr：

IPv4 固定存为 4 字节二进制值（无编码、无长度变化）
IPv6 固定存为 16 字节二进制值
Nginx 直接 memcpy 到哈希节点，不走字符串哈希路径，无动态分配
实测单 key 内存占用从平均 36 字节降至约 14 字节（含结构体头），节省超 60%

5MB zone 能防多少 IP？真实容量怎么算

别信“1MB ≈ 1 万 IP”这种粗略说法。以 5MB zone 为例（已扣除约 18% 哈希桶与对齐开销，实际可用约 4.1MB）：

IPv4 环境：每 IP 约占 44 字节 → 可存约 9.3 万个独立 IP
混合环境（含部分 IPv6）：按加权均值估算，仍可稳撑 7 万+ IP
若只防攻击流量（CC 场景中活跃恶意 IP 通常几百到几千个），5MB 完全够用，且留有余量应对突发扫描

极简但有效的全局防护配置

以下配置在 5MB 内存下即可启用基础全局防护，兼顾识别精度与资源效率：

http {
    # 仅用 5MB，按二进制 IP 限流，速率设为防 CC 的合理基线
    limit_req_zone $binary_remote_addr zone=global:5m rate=10r/s;
<pre class="brush:php;toolbar:false;">server {
    location / {
        # 允许短时突增（如页面加载带多个资源），但不排队延迟
        limit_req zone=global burst=15 nodelay;
        # 超限时返回标准 429，便于前端或 WAF 统一处理
        limit_req_status 429;
        proxy_pass http://backend;
    }
}

}

说明：

rate=10r/s 是 CC 防御的黄金阈值：正常用户极少持续每秒点 10 次，而脚本轻松做到百级
burst=15 放行首波合法并发（如首页 HTML + JS + CSS + 图片），避免误伤
不加 nodelay 会导致请求排队卡顿，影响体验；加了则超限立即响应，更利于快速拦截

进阶：用组合 key 提升精度，又不显著增内存

如果发现单一 IP 限流不够（例如攻击者用大量代理 IP），可在不扩大 zone 的前提下提升维度精度：

改用 "$binary_remote_addr$uri" 作为 key：同一 IP 刷不同接口才计数，防横向扫描
注意 URI 长度可控（如限制只取前 64 字节：map $uri $limited_uri { ~^(.{0,64}).* $1; }），避免长 URI 拉高内存
实测表明：在 10MB zone 下，该组合 key 方案比纯 IP 多存约 15% 的条目，但识别准确率提升明显