怎么在 Nginx 中实施基于 HTTPS 的访问频率控制-Nginx-PHP中文网

nginx 的访问频率控制与协议无关，只要 https 由 nginx 终结（解密后），limit_req 规则即对明文请求生效；需确保正确配置 ssl 终结、真实 ip 提取、限流维度选择及 burst/nodelay 等参数以适配 https 场景。

怎么在 nginx 中实施基于 https 的访问频率控制

Nginx 本身不区分 HTTP 和 HTTPS 协议来执行访问频率控制——限制逻辑完全基于请求到达 Nginx 的那一刻，与是否加密无关。只要 HTTPS 请求被 Nginx 正常终止（即 Nginx 做 SSL/TLS 终结），后续的 limit_req 规则就和普通 HTTP 请求一样生效。关键在于：HTTPS 是传输层加密，而限流是应用层（HTTP 请求）控制，二者正交且天然兼容。

下面分三部分说明如何在 HTTPS 环境中可靠实施访问频率控制：

一、确保 HTTPS 终结由 Nginx 完成

频率控制必须作用于解密后的原始请求。因此：

✅ 推荐方式：Nginx 自己加载证书，处理 TLS 握手（ssl_certificate + ssl_certificate_key），再转发明文请求给后端或直接响应；
❌ 不适用场景：若 HTTPS 流量直通（如使用 TCP 透传模式、SSL Passthrough 或前端有独立 WAF/LB 做终结而 Nginx 仅代理加密流量），则 limit_req 无法识别单个 HTTP 请求，会失效或误判。

示例 HTTPS server 块（含限流）：

Nginx Config Linter

对 Nginx 配置文件进行语法检查、验证和安全、性能审计。

下载

server {
    listen 443 ssl http2;
    server_name api.example.com;

    ssl_certificate /etc/nginx/ssl/fullchain.pem;
    ssl_certificate_key /etc/nginx/ssl/privkey.pem;

    # 限流区域定义（放在 http 块中，此处仅示意引用）
    limit_req zone=api_limit burst=10 nodelay;

    location / {
        proxy_pass http://backend;
        proxy_set_header Host $host;
    }
}

二、按需选择限流维度（HTTPS 下更需注意）

虽然协议不影响限流，但 HTTPS 常见部署场景会影响“谁该被限”的判断：

按 IP 限流（$binary_remote_addr）：最常用，但需留意：
- 若用户经 CDN、反向代理（如 Cloudflare）访问，真实 IP 可能被覆盖，需配置 real_ip_header 和 set_real_ip_from 提取 $remote_addr；
- 校园网/NAT 环境下多个用户共用出口 IP，过度限制易伤及正常用户。
按 Token 或 API Key 限流（需结合变量）：
更精准，适合 API 场景。例如从请求头提取 X-API-Key：
```
limit_req_zone $http_x_api_key zone=api_key:10m rate=100r/m;
```
配合 limit_req zone=api_key; 即可对每个 key 独立限流（要求客户端主动携带合法 header）。
按 URI 或 User-Agent 组合限流（谨慎使用）：
如防爬可加 $request_uri，但注意动态参数（如时间戳、随机数）会导致 key 失效；User-Agent 易伪造，仅作辅助。

三、验证与调优要点

状态码反馈：默认超限时返回 503 Service Temporarily Unavailable。可通过 limit_req_status 429; 改为标准限流响应码；
日志标记：添加 $limit 变量到 log_format，便于识别哪些请求被限（值为 - 表示未限，数字表示当前桶内请求数）；
突发流量容忍：burst 参数决定缓冲能力，nodelay 决定是否立即放行缓冲请求（适合短时峰值）；若要严格匀速，去掉 nodelay，Nginx 会延迟响应以维持 rate；
内存分配：zone=name:size 中 size 要足够容纳预期并发 IP 数（1M ≈ 8000 个 IP 状态），HTTPS 服务若用户量大，建议从 10m 起配。