Nginx 的 limit_conn 模块可通过限制 TCP 连接数来控制单个客户端的 WebSocket 并发连接数；需启用模块、定义 limit_conn_zone 区域，并在 WebSocket location 中配置 limit_conn 指令。
Nginx 的 limit_conn 模块本身不感知 WebSocket 协议，但它可以基于客户端 IP（或自定义 key）限制 TCP 连接数——而每个 WebSocket 连接本质上就是一个长生命周期的 TCP 连接。因此，只要配置得当，limit_conn 完全可用于限制单个客户端的 WebSocket 并发连接数。
确认 Nginx 已启用 limit_conn 模块
该模块默认编译进大多数主流 Nginx 发行版（包括官方预编译包和主流 Linux 发行版的包）。可通过以下命令验证：
nginx -V 2>&1 | grep -o with-http-limit-conn-module
若无输出，需重新编译 Nginx 并添加 --with-http-limit-conn-module 参数。
定义连接限制区域（zone）
在 http 块中定义一个共享内存区域，用于存储连接状态：
limit_conn_zone $binary_remote_addr zone=ws_limit:10m;
WebSocket 8.18.2 是该协议规范的一个重要迭代版本，主要优化了连接稳定性与数据传输效率。它通过全双工通信机制，允许客户端与服务器在单一长连接上实时交换数据，大幅降低传统 HTTP 轮询的开销。该版本增强了心跳保活、自动重连及二进制帧传输能力，适用于即时通讯、在线游戏及金融行情推送等低延迟场景，为开发者提供更可靠的实时网络交互基础。
-
$binary_remote_addr：使用二进制格式的客户端 IP 地址（比
$remote_addr更省内存），适合按 IP 限流 -
ws_limit：区域名称，后续在
limit_conn中引用 - 10m：分配 10MB 共享内存，可支持约 16 万个独立 IP 的状态记录（估算值，实际取决于系统）
如需按用户标识（如 token 或 cookie）限制，可用 $cookie_uid 或 $arg_token 等变量替代，但需确保其存在且稳定。
在 WebSocket location 中启用连接限制
WebSocket 请求通常通过 HTTP Upgrade 升级建立，Nginx 需正确透传。关键点是：限制必须作用于最终承载 WebSocket 的 location 块，且不能放在 upstream 或 proxy_pass 外层无效位置：
upstream ws_backend {<br> server 127.0.0.1:8080;<br>}
server {<br> listen 80;<br> location /ws/ {<br> limit_conn ws_limit 5; # 单个 IP 最多 5 个并发 WebSocket 连接<br> proxy_pass http://ws_backend;<br> proxy_http_version 1.1;<br> proxy_set_header Upgrade $http_upgrade;<br> proxy_set_header Connection "upgrade";<br> proxy_set_header Host $host;<br> proxy_cache off;<br> proxy_read_timeout 86400; # 长超时，避免连接被误断<br> }<br>}
-
limit_conn ws_limit 5表示每个唯一$binary_remote_addr最多维持 5 个活跃连接 - 该限制对所有进入该 location 的请求生效，包括 WebSocket 握手（GET）及后续帧传输（复用同一连接）
- 注意：Nginx 计算的是当前活跃的、未关闭的连接数，不是请求数或升级次数
补充说明与注意事项
- 若客户端使用 NAT 或代理（如公司出口网关），多个真实用户可能共享同一个
$binary_remote_addr，导致误限；此时应结合$http_cookie或 JWT 解析等更细粒度 key -
limit_conn是连接级限制，不控制消息频率或带宽，如需防消息洪泛，需后端配合或引入limit_req - 连接被拒绝时，Nginx 返回
503 Service Temporarily Unavailable，前端应捕获并降级处理（如退避重连） - 可通过
stub_status或ngx_http_vhost_traffic_status_module查看实时连接数统计
