nginx 不支持直接限制访问时长，但可通过限流（limit_req）、动态黑名单（deny+外部脚本）或外部系统（如redis+日志分析）间接实现；不推荐用keepalive_timeout等伪方案。
直接限制“访问时长”在 Nginx 中并不原生支持——Nginx 没有内置的会话时长或单次连接持续时间控制机制。但你可以通过组合 限流（limit_req）、IP 封禁（deny/allow 或 geo + map） 和 外部脚本或日志分析 等方式，间接实现“对某 IP 段限制其单位时间内的总访问时长”这一目标。下面分几种实用场景说明：
用 limit_req 限制单位时间请求数（最常用、最可行）
虽然不是精确到秒级的“连接时长”，但高频请求往往对应长时间活跃行为。通过限制每秒请求数，可有效抑制爬虫、暴力探测等长期占用行为。
- 在
http块中定义限流区域（按 IP 地址哈希）：
limit_req_zone $binary_remote_addr zone=perip:10m rate=5r/s;
- 在
server或location块中应用，并只对指定 IP 段启用（配合geo）：
geo $limited_ip {
default 0;
192.168.10.0/24 1; # 限制该网段
2001:db8::/32 1;
}
<p>map $limited_ip $limit_key {
0 "";
1 $binary_remote_addr;
}</p><p>limit_req zone=perip burst=10 nodelay;
limit_req_status 429;</p>这样，只有匹配的 IP 段才会被限流，其他用户不受影响。
用 deny + 动态配置实现临时封禁（模拟“超时后禁止再连”）
若你希望某 IP 段在连续访问超过例如 10 分钟后被自动拉黑，Nginx 本身无法主动判断“已连多久”，但可通过外部程序写入黑名单文件，再用 include 加载：
- 创建一个 IP 黑名单文件：
/etc/nginx/conf.d/blacklist.conf，内容如：
deny 192.168.10.5; deny 192.168.10.12;
- 在 server 块中引入：
include /etc/nginx/conf.d/blacklist.conf;
然后由定时脚本（如 Python/Shell）分析 access.log，识别出 10 分钟内请求超阈值的 IP，写入黑名单并重载 Nginx（nginx -s reload）。这是生产中较稳妥的“时长感知”方案。
结合日志与外部系统做会话级控制（高阶用法）
如果你真正需要记录每个客户端的“首次访问时间”和“最后活跃时间”，建议将 Nginx 日志发送至 ELK、Loki 或自建 Redis 缓存，用外部服务维护会话状态：
- Nginx 记录 $remote_addr 和 $time_iso8601；
- 后端服务（如 Lua 脚本 via lua-nginx-module 或独立 API）查 Redis：若该 IP 在当前小时已累计活跃 > 600 秒，返回 403；
- 每次请求更新 Redis 中该 IP 的 last_active_ts 和 total_seconds；
这种方式灵活但需额外运维成本，适合已有可观测性基建的团队。
不推荐的做法：用 proxy_buffering 或 keepalive_timeout “伪限制”
有人尝试调小 keepalive_timeout 5; 或关闭 proxy_buffering off; 来缩短连接寿命，但这影响的是 TCP 连接复用和响应缓冲行为，与“限制某 IP 段的使用时长”无实质关联，还可能降低性能，应避免误用。
