开发环境限流旨在防止调试或测试刷接口拖垮服务，需宽松、可识别、易调整；按ip+开发标识（如x-env: dev）区分，用map提取key，配置rate=5r/s、burst=10，返回json提示并支持x-bypass-limit临时绕过。
API 开发环境限流不是为了防攻击，而是防止本地调试、自动化脚本或测试工具反复刷接口导致后端服务卡死、数据库被拖慢，甚至影响其他同事联调。配置要宽松、可识别、易调整，不干扰开发节奏。
按 IP + 开发标识区分限流
开发环境通常有固定特征：内网 IP 段（如 192.168.0.0/16 或 10.0.0.0/8）、带特定请求头（如 X-Env: dev）、或路径含 /dev-api/。建议优先用请求头或路径做分流，避免误伤同一局域网下的多人。
- 在 http 块定义两个限流区：一个给开发流量，一个给生产（可复用）
- 用 map 指令提取开发标识，例如：
map $http_x_env $limit_key {
default $binary_remote_addr;
"dev" "$binary_remote_addr-dev";
} - 再定义限流区：
limit_req_zone $limit_key zone=dev_api:10m rate=5r/s;
设置宽松但有边界的速率和突发值
开发阶段接口响应可能较慢（比如连本地 MySQL、未启用缓存），所以限流不能太严。每秒 5 次、允许突发 10 次是常见起点，既防循环调用，又不卡单步调试。
- 在对应 location 中应用：
limit_req zone=dev_api burst=10 nodelay; - burst=10 表示允许瞬间打进来 10 个请求排队；加 nodelay 是为了让这 10 个尽快发出，避免调试时等太久
- 如果发现仍频繁触发 503，可临时调高到 rate=10r/s，上线前再改回
返回友好提示，方便快速定位
开发环境返回默认的 503 页面很难排查是谁、哪个脚本触发了限流。建议自定义错误页或返回 JSON 提示。
- 在 server 块中添加：
error_page 503 /503.json;
location = /503.json {
add_header Content-Type "application/json";
return 503 '{"code":503,"msg":"API rate limit exceeded. Check your test script or contact DevOps."}';
} - 也可配合日志记录限流详情：
log_format limit_log '$remote_addr - $request_time [$time_local] "$request" $status $limit_key';
绕过限流的临时调试方式
真遇到必须高频调用的场景（如压测 mock 接口），应提供安全的绕过机制，而不是关限流。
- 支持通过请求头临时放行：
if ($http_x_bypass_limit = "true") { set $limit_key ""; }
limit_req zone=dev_api burst=10 nodelay; - 注意：仅限开发环境使用，且需在配置里显式注明“仅供调试”，上线前必须删除或注释
- 更稳妥的做法是用不同 upstream，让带 X-Bypass-Limit 的请求走无限制的 backend
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
