$binary_remote_addr配合limit_req_zone是低功耗设备高并发防护最轻量稳定的方式；它用固定字节二进制IP编码，节省40%–60%内存，10MB共享内存可支撑超20万IP，避免字符串解析开销与哈希冲突。
用 $binary_remote_addr 配合 limit_req_zone，是低功耗设备上实现高并发防护最轻量、最稳定的方式。它不依赖外部存储或复杂计算，靠 Nginx 原生命令和紧凑二进制编码就能扛住海量分散 IP 的请求压力。
为什么 $binary_remote_addr 特别适合低功耗设备
低功耗设备（如树莓派、边缘网关、轻量云实例）内存小、CPU 弱，传统按字符串 IP 限流会快速吃光共享内存并引发哈希冲突。而 $binary_remote_addr：
- IPv4 固定占 4 字节，IPv6 固定占 16 字节，长度可控、无解析开销
- 避免了
$remote_addr字符串（如 "203.124.5.178" 占 13 字节+空终止）带来的内存碎片和哈希抖动 - 实测在 10MB 共享内存区中，可支撑超 20 万个独立 IP 计数槽位，比字符串方式节省约 40%–60% 内存
精简有效的基础配置写法
直接放在 http{} 块中，无需额外模块或 map 指令：
limit_req_zone $binary_remote_addr zone=fast:10m rate=8r/s;
说明：
-
zone=fast:10m表示分配 10MB 共享内存，对低功耗设备已足够（一般 5–15MB 是安全区间） -
rate=8r/s是保守起见的默认值，可根据实际接口响应时间动态上调（如静态资源可设到 20r/s，登录接口建议 ≤3r/s） - 不加
burst或nodelay到 location 中，先保证基础限流生效；后续再按需增强
针对不同场景的轻量增强策略
不引入 geo/map 等重量级指令，仅靠变量组合提升精度：
-
防接口爆刷：组合 URI 路径，但只取关键前缀（避免长 URI 拉长 key）
limit_req_zone "$binary_remote_addr$uri" zone=api_fast:12m rate=5r/s; -
保核心路径：单独为 /login、/pay 等敏感路径建 zone，复用同一
$binary_remote_addrlimit_req_zone $binary_remote_addr zone=login_limit:3m rate=2r/s; -
区分动静态：用
$request_uri简单匹配后缀，避免全量解析map $request_uri $is_static { ~\.(js|css|png|jpg)$ 1; default 0; }
再配合：limit_req_zone "$binary_remote_addr$is_static" zone=static_dyn:8m rate=15r/s;
部署时必须检查的三项细节
低功耗设备容错空间小，以下三点直接影响稳定性：
-
共享内存大小不能超过系统 shmmax 限制：运行
cat /proc/sys/kernel/shmmax，确保10m类配置未超限（常见树莓派默认为 32MB，够用） - 关闭 access_log 或切到 buffer+flush 模式：日志 I/O 是低功耗设备瓶颈，限流启用后更要减少磁盘写入
- limit_req_status 设为 429：比默认 503 更语义明确，方便前端识别限流状态，减少重试风暴
