nginx基于业务逻辑限流需结合用户id、api路径等维度构造动态key，利用limit_req_zone变量定义多策略zone，并通过lua扩展实现vip等级等复杂判断，再与上游协同返回429响应及监控告警。
在 Nginx 中实现基于业务逻辑的限流，核心是**跳出单纯依靠请求频率（如每秒请求数）的限制方式，转而结合实际业务特征（如用户 ID、API 路径、订单类型、设备指纹等）做差异化、精细化的速率控制**。这需要将业务标识提取出来，并作为限流键（key）参与 limit_req 或第三方模块（如 lua-resty-limit-traffic）的决策。
提取并构造业务维度的限流键
标准限流模块 limit_req_zone 支持用变量动态构造限流 key，这是实现业务逻辑限流的基础。关键在于从请求中可靠提取业务标识：
- 从请求头（如
X-User-ID、X-App-Version）获取可信的业务字段； - 从 URL 参数（如
uid=123、scene=pay）提取，但需注意参数可被篡改，建议配合签名或后端校验； - 从 Cookie（如
sid或加密 token）解析用户身份，需搭配安全的解密逻辑（通常用 Lua 实现）； - 对登录态接口，可先由 upstream 返回用户信息，再用
auth_request模块透传到限流阶段。
使用 limit_req_zone + 变量定义差异化限流策略
通过不同变量组合定义多个限流 zone，实现“一人一策”或“一场景一策”：
limit_req_zone $http_x_user_id zone=user_limit:10m rate=5r/s; limit_req_zone "$http_x_user_id:$args" zone=user_scene_limit:10m rate=2r/s; limit_req_zone $request_uri zone=api_limit:10m rate=10r/s;
然后在 location 中按需应用：
-
按用户限流：
limit_req zone=user_limit burst=10 nodelay; -
按用户+操作场景限流（如支付接口每用户每秒最多 2 次）：
limit_req zone=user_scene_limit burst=5; -
全局路径限流兜底：
limit_req zone=api_limit burst=20;
用 Lua 扩展实现复杂业务判断
当限流逻辑涉及多条件组合（例如：“VIP 用户每分钟 100 次，普通用户 20 次，且单次请求携带有效 promo_code 时额外+5”），纯配置难以表达，需引入 nginx-lua：
- 安装
lua-resty-limit-traffic库，支持令牌桶、漏桶、并发数等多种算法； - 在
access_by_lua_block中读取用户等级、活动状态、请求体参数等，动态计算当前允许的速率； - 示例：根据 header 中的
X-User-Level查表返回不同 rate，再调用limit:incoming()判断是否放行； - 注意将 Lua 限流结果缓存到 shared dict，避免重复解析开销。
与上游协同完成闭环控制
限流不是孤立动作，需和业务系统联动才真正有效：
- 返回给客户端清晰的错误码（如
429 Too Many Requests）和提示（如X-RateLimit-Remaining、X-RateLimit-Reset头）； - 将触发限流的请求日志（含 user_id、uri、time）发送到监控系统，用于识别恶意刷量或异常行为；
- 对高频触发限流的用户，可由后端服务临时降权，或写入 Redis 黑名单，Nginx 通过
redis2模块实时查询拦截。
