怎样在Python Flask中限制接口访问频率_使用Flask-Limiter-Python教程-PHP中文网

最常见的原因是Limiter实例未正确初始化或未绑定到Flask应用，必须显式调用init_app()且顺序需在创建app之后、注册路由之前。

怎样在python flask中限制接口访问频率_使用flask-limiter

最常见的现象是：加了装饰器，但请求依然能无限刷接口。根本原因通常是 Limiter 实例没正确初始化或没绑定到 app。

Flask-Limiter 不会自动接管 Flask 应用，必须显式调用 init_app()，且顺序不能错——得在创建 app 之后、注册路由之前完成。

错误写法：limiter = Limiter(key_func=get_remote_address) 单独定义后就不管了
正确写法：limiter = Limiter(key_func=get_remote_address, app=app, default_limits=["200 per day"]) 或分两步：limiter.init_app(app)
若用工厂模式，init_app() 必须在 create_app() 内调用，不能只在模块顶层实例化

默认的 get_remote_address 只认 IP，对登录态接口不适用。关键在于重写 key_func，从请求中提取稳定标识。

常见做法是从 Header（如 X-User-ID）或 Token 解析用户 ID，但要注意 fallback：未认证用户必须返回可区分的 key，否则所有人共享一个配额。

推荐写法：

def get_user_or_ip():
    user_id = request.headers.get("X-User-ID")
    if user_id:
        return f"user_{user_id}"
    return request.remote_addr

避免直接用 session.get("user_id")：若 session 存 Redis 且未配置 sticky session，可能因负载均衡导致 key 不一致
JWT 场景下，建议在中间件里解析 token 并设 g.user_id，再由 key_func 读取，避免重复解析

看起来只是时间单位不同，但底层滑动窗口逻辑会让它们表现迥异。Flask-Limiter 默认用的是固定窗口（fixed window），不是滑动窗口（sliding window）。

Python Pep Authoring

依据官方 python/peps仓库规则起草、审阅、编辑或准备 Python 改进提案（PEP），用于处理 PEP 文本和元数据头部。

下载

比如设 "10 per minute"，系统每分钟整点重置计数器；而 "10 per second" 是每秒重置。这会导致突发流量被“削峰”得非常生硬——第 59 秒发 10 次，第 0 秒又发 10 次，实际 2 秒内 20 次，但完全合法。

需要平滑限流？得换存储后端（如 Redis + lua 脚本）并启用 in_memory_fallback=False，但 Flask-Limiter 官方不直接支持滑动窗口
更现实的方案：用 "600 per hour" 替代 "10 per minute"，降低窗口敏感度
注意：SQLite 等本地存储不支持并发计数，多进程部署时必须用 Redis 或 Memcached

直接在视图里 return jsonify(...), 429 不行——限流触发发生在路由执行前，靠 Flask 错误处理器拦截才是正路。

但 @app.errorhandler(429) 拿不到被限流的路由信息，容易返回笼统提示。更可控的方式是用 on_limit 回调 + 自定义异常。

注册时传参：

limiter = Limiter(
    on_limit=lambda: abort(429, description="Too many requests, slow down.")
)

Flask-Limiter 的核心复杂点不在语法，而在限流策略与部署环境的咬合：多进程要 Redis，用户维度要安全 key，突发流量要理解窗口机制。这些地方一松动，限流就形同虚设。

Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！

怎样在Python Flask中限制接口访问频率_使用Flask-Limiter