nginx 用户级滑动窗口限流需 openresty + lua + redis zset 实现，以用户标识为 key、毫秒时间戳为 score 管理请求，通过原子 lua 脚本完成清理、统计、插入及过期设置，并依赖 ntp 同步与降级策略保障可靠性。

直接用 Nginx 做用户级滑动窗口限流，必须借助 Lua 脚本 + Redis 有序集合（zset），核心是把每个用户的请求时间戳存进 zset，按时间窗口动态统计数量。固定窗口在临界点容易被击穿，而滑动窗口能真实反映“最近 N 秒内”的访问频次，更适合保护后端接口不被单个恶意用户拖垮。

关键设计：用户标识 + 时间戳 + zset 窗口管理

限流 key 必须唯一绑定用户维度，常见组合包括：

• IP + 接口路径：适合简单场景，但易受 NAT 或代理影响
• JWT 用户 ID 或登录态 token 解析出的 userId：更精准，需在 Lua 中解析 header 或 cookie
• AppID + userId + 接口名：多租户系统常用，避免跨租户干扰

例如 key 设计为 rate:uid:10086:/api/order/create，score 存毫秒级时间戳，value 存唯一请求标识（如 UUID 或哈希值），防止同一毫秒内重复请求覆盖。

Redis Skill - 高性能缓存管理

Redis 缓存和数据结构管理技能。通过自然语言操作 Redis，支持 String、Hash、List、Set、ZSet、Stream 等数据结构操作。当用户提到 Redis、缓存、消息队列、会话存储时使用此技能。

下载

Redis 操作逻辑必须原子化：用 Lua 脚本封装

所有 zset 操作（清理旧数据、统计数量、添加新请求）必须在一个 Lua 脚本中完成，否则并发下会出现竞争条件。典型脚本逻辑如下：

• 用 ZREMRANGEBYSCORE 清除窗口外（当前时间 − 窗口时长）的所有记录
• 用 ZCARD 获取当前窗口内请求数
• 若未超阈值，执行 ZADD 写入新请求，并调用 EXPIRE 设置 key 过期时间（略大于窗口时长，防冷 key 占内存）
• 返回 1（放行）或 0（拒绝），Nginx 根据返回值跳转到限流响应页或透传

Nginx 配置要点：OpenResty 是事实标准

原生 Nginx 不支持 Redis 访问，必须使用 OpenResty。配置示例关键片段：

• 启用 lua-resty-redis 库，连接池复用连接，避免频繁建连
• 在 location 块中用 access_by_lua_file 执行限流逻辑（早于 proxy_pass）
• 提取用户标识建议放在 init_by_lua_block 初始化共享字典，提升性能
• 设置 lua_shared_dict 缓存限流规则（如 /api/xxx 的窗口=60s、阈值=100），避免每次读配置文件

生产注意事项：时间、精度与降级

真实部署时几个易踩坑点：

• 所有节点时间必须严格同步（NTP），否则 zset score 失效；建议用 redis.call('TIME') 在 Lua 中取服务端时间，规避客户端或 Nginx 机器时钟偏差
• 窗口单位建议用毫秒级，避免秒级精度导致短时突发流量漏放（比如 1 秒内前 10ms 打满 100 次）
• Redis 故障时需有降级策略：可配置开关，故障时跳过限流；或 fallback 到本地内存计数（如 lua_shared_dict），但注意多 worker 间不共享，精度下降
• 监控必须跟上：记录被限流的用户 ID、key、时间，用于识别攻击源或误伤排查