直接限制后端响应速率是防拖库最务实的一招，通过limit_rate对高风险路径精准限速，结合limit_req实现双层防护，并支持基于用户角色的动态限速。
直接限制后端响应速率，是防拖库最务实的一招。它不拦请求，但让大文件、大批量数据“吐得慢”，大幅增加攻击者窃取全量数据的时间成本和暴露风险。
用 limit_rate 控制单连接响应带宽
这是防御数据脱库的核心手段。它作用于响应体传输阶段，对每个 TCP 连接的下行流限速，单位是字节/秒，不影响请求处理或头部发送。
- 只写在 location 块中，例如匹配 API 导出路径或静态资源目录
- 值支持简写：
100k表示 102400 字节/秒，1m表示 1048576 字节/秒（不是 MB） - 设为
0表示不限速（默认），生产环境切勿留空
针对高风险路径精准限速
不是所有接口都需要限速，重点盯住导出类、下载类、批量查询类路径。
- 对导出接口统一限速：
location /api/v1/export/ { limit_rate 200k; } - 对 ZIP、SQL、CSV 等敏感后缀单独拦截：
location ~ \.(zip|sql|csv|jsonl)$ { limit_rate 100k; } - 避免误伤小响应：限速对小文件（如几 KB 的 JSON）几乎无感，只对 MB 级以上数据生效明显
结合 limit_req 实现双层防护
limit_rate 防“拖”，limit_req 防“刷”，两者叠加才能堵住组合攻击。
- 先用
limit_req_zone定义按 IP 或用户 ID 的请求频次规则 - 在导出路径中同时启用：
limit_req zone=export burst=3 nodelay; limit_rate 150k; - 这样既卡住高频轮询（比如每秒 5 次调用导出），又卡住单次响应过快（比如一次返回 200MB 数据）
动态限速适配不同用户角色
用 map 指令区分普通用户、VIP、管理员，避免一刀切影响体验。
- 定义变量：
map $arg_token $user_rate { default 100k; "~^vip_" 2m; "~^admin_" 5m; } - 在 location 中引用：
limit_rate $user_rate; - 令牌可来自请求参数、Header 或 JWT 解析（需配合 auth_request 模块）
