如何通过 limit_req_zone 结合自定义头实现基于 API Key 的多租户反代限速-Nginx-PHP中文网

可通过limit_req_zone和map指令实现基于API Key的多租户独立限速：先用map从X-API-Key头提取并清洗租户标识为$api_key，再以该变量定义限速区域，确保空值非法值映射为"-"避免绕过或内存耗尽，最后在location中启用限速、透传租户信息并校验合法性。

如何通过 limit_req_zone 结合自定义头实现基于 api key 的多租户反代限速

可以通过 limit_req_zone 定义基于 API Key 的限速区域，并配合 map 指令从自定义请求头（如 X-API-Key）提取租户标识，实现多租户独立限速。关键在于让每个租户的 API Key 映射为唯一、稳定的限速键，且避免空值或非法值干扰限速逻辑。

定义基于 API Key 的限速区域

使用 $api_key 变量作为限速键，需确保它已通过 map 提前解析并标准化：

在 http 块中声明限速区域，例如每秒最多 10 个请求，突发容量 20：

limit_req_zone $api_key zone=apikey_limit:10m rate=10r/s;

其中 10m 是共享内存大小，足够存储数万个不同 API Key 的计数器；rate 和 burst 参数按租户等级差异化配置时，可搭配多个 zone 使用。

用 map 从自定义头提取并清洗 API Key

map 指令用于安全地从 X-API-Key 头中提取值，并处理缺失、空、过长或含非法字符的情况：

默认将空值、空白、超长（如 >64 字符）或含控制字符的值映射为特殊标记（如 "-"），使其不参与有效限速；
合法 API Key 经 trim 和长度截断后直接使用，保证键稳定性：

map $http_x_api_key $api_key {
    ""              "-";
    "~^\s*$"       "-";
    "~^[a-zA-Z0-9_\-]{8,64}$" $http_x_api_key;
    default         "-";
}

这样既防止空头绕过限速，又避免恶意构造超长 Key 耗尽共享内存。

在 location 中启用限速并透传租户信息

在反向代理的 location 块中调用限速，并可选地将租户标识注入后端请求头，便于日志或鉴权联动：

使用 limit_req 引用前面定义的 zone，设置 burst 和 nodelay 策略；
添加 proxy_set_header X-Tenant-ID $api_key，供上游服务识别租户；
对非法 Key 返回 400，避免无效请求进入限速或后端：

location /api/ {
    limit_req zone=apikey_limit burst=20 nodelay;

    if ($api_key = "-") {
        return 400 "Invalid or missing X-API-Key";
    }

    proxy_pass https://backend;
    proxy_set_header X-Tenant-ID $api_key;
}