Nginx可通过limit_req模块在反向代理层实现接口级、租户级、IP+接口级多维度速率限制，结合limit_req_zone定义差异化key与location精准绑定策略，并支持burst缓冲、状态码自定义及日志监控闭环优化。

可以通过 Nginx 的 limit_req 模块，在反向代理层对不同业务接口实施精细化的流量整形和速率限制，核心在于结合 limit_req_zone 定义差异化限流键（key），并用 limit_req 指令按 location 精准绑定策略。

定义多维度限流区域（zone）

根据业务接口特征，用 $uri、$arg_appid、$http_x_real_ip 等变量组合构造唯一 key，为不同接口或租户划分独立限流桶：

• 按接口路径限流：例如对 /api/v1/order/create 单独设每秒 50 请求
• 按租户标识限流：提取请求头或参数中的 appid，实现多租户配额隔离
• 按用户 IP + 接口联合限流：避免单个 IP 刷某个关键接口，同时允许其访问其他接口

配置示例：

limit_req_zone $uri zone=per_uri:10m rate=50r/s;
limit_req_zone "$arg_appid:$uri" zone=per_app_per_api:10m rate=30r/s;
limit_req_zone "$http_x_real_ip:$uri" zone=ip_per_api:10m rate=10r/s;

在 location 块中精准挂载限流策略

不要全局启用，而是针对具体业务接口的 location 配置 limit_req，支持嵌套匹配与 fallback：

• 对高优接口（如登录）使用宽松策略：limit_req zone=per_uri burst=100 nodelay;
• 对写操作接口（如下单）启用严格限流+排队缓冲：limit_req zone=per_app_per_api burst=20 delay=10;
• 对敏感接口（如密码重置）叠加 IP 维度限制：limit_req zone=ip_per_api burst=3;

注意：多个 limit_req 指令在同一 location 中会依次生效，可组合使用，但需注意 key 冲突和优先级逻辑。

配合 proxy_pass 实现透明整形，不侵入后端

限流发生在 Nginx 反向代理阶段，后端服务无感知。关键点包括：

• 确保 proxy_pass 在 limit_req 后仍能正常转发——限流拦截返回 503，放行请求才进入 upstream
• 通过 limit_req_status 429 自定义限流响应码，便于前端识别节流状态
• 开启 limit_req_log_level warn 记录被限流请求，用于后续分析异常流量模式

监控与动态调优建议

仅配置不能闭环，需结合日志与指标持续优化：

• 用 log_format 记录 $limit、$limit_rate、$limit_burst 等变量，识别命中哪个 zone
• 基于 access log 统计各接口实际请求分布，验证 burst 设置是否合理（如排队超时比例过高，说明 burst 偏小）
• 灰度上线新限流策略：先用 limit_req dry_run=on（Nginx 1.21.7+）模拟运行，观察影响再正式启用