thinkphp api限流有五种方案：一、启用内置throttle中间件，配置ip限流；二、自定义ratelimitmiddleware，用redis+lua实现原子计数；三、nginx层limit_req前置限流；四、redis zset滑动窗口精确统计；五、集成overtrue/throttle组件支持多策略。
如果您在ThinkPHP项目中发现API接口被高频调用导致服务器压力上升或响应异常，则可能是由于缺乏有效的请求频率控制。以下是针对ThinkPHP框架配置API限流的多种可行方案：
一、启用并配置throttle中间件
ThinkPHP 6内置throttle中间件，基于IP或自定义键实现固定窗口计数限流，依赖缓存驱动且需确保路由绑定正确。该方式配置轻量、适配标准API分组场景。
1、确认config/middleware.php中已开启全局中间件开关：'use_global_middleware' => true。
2、在app/route/app.php中使用路由分组绑定限流规则：Route::group('api', function() { /* 路由定义 */ })->middleware('throttle:60,1');。
3、检查缓存驱动配置，若使用file缓存，生产环境必须切换为redis，避免文件锁引发计数偏差。
4、验证IP获取准确性：在Nginx配置中添加proxy_set_header X-Real-IP $remote_addr;与proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;，并在中间件中预处理请求头以确保$request->ip()返回真实客户端地址。
二、自定义RateLimitMiddleware中间件
通过手动编写中间件可完全掌控限流维度（如IP、Token、用户ID）、算法逻辑与响应格式，规避内置中间件对多级代理IP解析不一致等限制。
1、在app/middleware/目录下新建RateLimitMiddleware.php文件，定义handle方法。
2、在方法内提取可信标识：优先取X-Real-IP，其次从X-Forwarded-For中截取首个公网IP，丢弃私有地址段（127.0.0.0/8、10.0.0.0/8等）。
3、构造带命名空间的Redis键名：rate:api:v1.users.index:192.168.1.100，避免不同接口或IP间键冲突。
4、使用Lua脚本执行原子操作：INCR + 条件EXPIRE，脚本内容为local current = redis.call("incr", KEYS[1]) if current == 1 then redis.call("expire", KEYS[1], ARGV[1]) end return current。
5、当计数值超限时，统一返回HTTP 429状态码，并设置Retry-After: 60响应头。
三、Nginx层前置限流
Nginx作为请求入口，在到达PHP-FPM前完成基础速率控制，能显著降低后端负载，适用于全站API统一防护或突发流量压制。
1、在nginx.conf的http块中定义限流区域：limit_req_zone $binary_remote_addr zone=api_limit:10m rate=30r/m;。
2、在server或location块中应用该区域：limit_req zone=api_limit burst=10 nodelay;，其中burst允许突发10个请求，nodelay避免排队延迟。
3、若需按域名或路径差异化限流，可改用$host或$request_uri变量构造key。
4、配合error_page指令捕获503错误，重定向至统一限流响应页或返回JSON格式提示。
四、基于Redis滑动窗口的ZSET实现
滑动窗口算法可精确统计最近N秒内的请求数，消除固定窗口临界点突增缺陷，适合对精度要求高的业务接口。
1、为每个客户端标识创建ZSET键：rate:zset:ip:192.168.1.100，每次请求插入当前时间戳作为score。
2、在处理请求前执行Lua脚本清理过期成员：ZREMRANGEBYSCORE key -inf (current_timestamp - window)。
3、调用ZCARD获取当前有效请求数，若≥阈值则拒绝请求。
4、为ZSET设置过期时间：EXPIRE key window + 10，防止历史数据堆积。
五、使用overtrue/throttle第三方组件
该组件封装了TokenBucket与FixedWindow策略，支持内存与Redis驱动，提供更丰富的策略配置能力，适合快速集成且需多维度限流的项目。
1、通过Composer安装：composer require overtrue/throttle。
2、在中间件中初始化Limiter实例，指定缓存驱动与策略参数：$limiter = new \Overtrue\Throttle\Throttle(new \think\facade\Cache(), ['key_func' => function($request) { return $request->header('x-real-ip') ?: $request->ip(); }]);。
3、调用attempt方法传入唯一标识与限流规则：$limiter->attempt('api_v1_users', 100, 60)，返回false即触发限流。
4、捕获限流结果后，直接返回标准化JSON响应，包含code=429及自定义message字段。
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
