如何在Python Django中限制API的访问频率和速率？-Python教程-PHP中文网

django-ratelimit不够用因其依赖视图装饰器、对类视图支持弱，无法多维度限流，不支持滑动窗口，且默认内存缓存上线易失效；推荐drf原生throttling方案配合redis缓存。

为什么 django 自带的 `django-ratelimit` 不够用？

因为 django-ratelimit 依赖视图装饰器，对类视图（尤其是 apiview 或 viewset）支持弱，且无法细粒度控制「按用户/ip/令牌」多维度限流；它默认用内存缓存，上线后容易失效，也不支持滑动窗口算法。

实际项目中更推荐组合使用 djangorestframework-throttling（DRF 原生方案） + 自定义缓存策略：

它直接集成在 DRF 的 throttle_classes 中，兼容 APIView、ViewSet 和路由级配置
支持 UserRateThrottle、AnonRateThrottle、ScopedRateThrottle 三类基础策略
所有限流键（key）生成逻辑可重写，比如从 JWT token 提取 user_id 而非依赖 request.user

如何让同一个 API 对登录用户和游客用不同速率？

DRF 的限流类默认按请求来源自动分流：未认证请求走 AnonRateThrottle，已认证走 UserRateThrottle。但要注意它们共用同一个缓存前缀，容易冲突。

正确做法是显式分离缓存命名空间：

from rest_framework.throttling import UserRateThrottle, AnonRateThrottle
<p>class BurstAnonThrottle(AnonRateThrottle):
scope = 'anon_burst'
rate = '5/min'</p><p>class SustainedUserThrottle(UserRateThrottle):
scope = 'user_sustained'
rate = '100/h'
</p>

然后在视图中指定：

class MyAPIView(APIView):
    throttle_classes = [BurstAnonThrottle, SustainedUserThrottle]

关键点：

scope 必须唯一，DRF 会用它拼出缓存 key，如 'throttle_anon_burst_192.168.1.1'
不要只写 rate = '5/min' 就完事——必须配 scope，否则所有限流共享同一组计数器
如果用了 Redis 缓存，确认 CACHES 配置里 default backend 支持原子 incr/decr 操作

怎么按 API 功能模块（比如支付、短信）单独限流？

用 ScopedRateThrottle，它根据视图的 throttle_scope 属性查对应速率，适合功能隔离场景。

例如短信发送接口需要独立限频，且允许高权限用户豁免：

testing-python

使用pytest编写和评估有效的Python测试。适用于编写测试、审查测试代码、调试测试失败或提高测试覆盖率。

下载

class SMSRateThrottle(ScopedRateThrottle):
    def allow_request(self, request, view):
        if request.user.is_staff:
            return True
        return super().allow_request(request, view)
<h1>视图中</h1><p>class SendSMSView(APIView):
throttle_classes = [SMSRateThrottle]
throttle_scope = 'sms'  # 对应 settings.py 中的 THROTTLE_RATES['sms']
</p>

并在 settings.py 中声明速率：

THROTTLE_RATES = {
    'sms': '10/h',
    'payment': '5/min',
}

注意：

throttle_scope 值必须和 THROTTLE_RATES 字典 key 完全一致，大小写敏感
ScopedRateThrottle 的 key 是 scope + ident（ident 默认为 IP），若想按用户限流，需重写 get_cache_key()
别在中间件里全局加 ScopedRateThrottle，它只对设置了 throttle_scope 的视图生效

Redis 缓存没配好会导致限流完全失效吗？

会。DRF 限流默认用 cache['default']，如果这个 cache backend 是 LocMemCache（Django 默认开发模式），多个 gunicorn worker 进程之间无法共享计数器，结果就是“限流形同虚设”。

生产环境必须切到 Redis：

CACHES = {
    'default': {
        'BACKEND': 'django_redis.cache.RedisCache',
        'LOCATION': 'redis://127.0.0.1:6379/1',
        'OPTIONS': {
            'CLIENT_CLASS': 'django_redis.client.DefaultClient',
        }
    }
}

还要检查：