怎么通过Apache配置实现对特定HTTP请求方法的限流防护策略教程-Apache-PHP中文网

apache不原生支持按方法+路径限频，需用setenvif标记请求并配合mod_evasive的dos_enabled环境变量触发限流，仅对匹配的post /api/v1/submit生效，其他请求完全绕过。

怎么通过apache配置实现对特定http请求方法的限流防护策略教程

Apache本身不提供原生的“按HTTP方法+路径限频”指令，但可通过环境变量标记 + mod_evasive 条件触发实现精准限流。关键不在限制方法本身，而在让限流模块只对目标方法生效。

只对 POST /api/v1/submit 限流的核心配置

这是最典型的业务场景：保护提交接口，放行其他所有请求。需两步配合：

用 SetEnvIf 在匹配请求时设置自定义环境变量（如 evasive_post_target）
在 mod_evasive 配置中，通过 <ifmodule mod_setenvif.c></ifmodule> 判断该变量是否存在，仅在此条件下启用限流

示例配置片段：

SetEnvIf Request_Method ^POST$ is_post<br>
SetEnvIf Request_URI ^/api/v1/submit$ is_submit_api<br>
SetEnvIf is_post 1 is_post_submit<br><location><br>
  SetEnvIf Request_Method "POST" evasive_post_target<br></location><br><br><ifmodule mod_evasive20.c><br>
  DOSEnabled on<br>
  DOSPageCount 3<br>
  DOSPageInterval 10<br>
  DOSLogDir "/var/log/mod_evasive"<br>
  DOSBlockingPeriod 600<br><ifmodule mod_setenvif.c><br>
    SetEnvIf evasive_post_target 1 DOS_ENABLED<br></ifmodule><br></ifmodule>

这样，只有 POST 到 /api/v1/submit 的请求才会被纳入计数；GET、PUT、其他路径的 POST 全部绕过，不影响正常流量。

为什么 LimitRequestFields 和 LimitRequestFieldSize 不是限流方案

这两个指令管的是请求头的数量和单个头长度，不是请求频率或方法类型：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

LimitRequestFields 40 防的是“发500个空Header耗尽内存”，不是“1秒刷1000次POST”
LimitRequestFieldSize 2048 防的是“一个8KB的Cookie撑爆缓冲区”，和请求次数无关
它们属于解析层防护，无法识别方法、URI 或客户端IP，更不能触发拦截或延迟响应

若想防高频恶意请求，必须依赖具备状态跟踪能力的模块，比如 mod_evasive 或 mod_ratelimit（后者只限带宽，不区分方法）。

对比 mod_ratelimit 和 mod_evasive：选错就白配

两者定位完全不同：

mod_ratelimit 是按响应字节数/秒做带宽限速（例如限制每个连接最大 100KB/s），不感知请求方法、URI 或来源IP，也不做计数封禁
mod_evasive 是基于 IP + URI + 方法的组合行为分析，支持阈值触发（如1秒内同一IP对某URI发超5次POST）、自动拉黑、调用系统命令硬拦截（如 iptables）
要防暴力提交、接口爆破、爬虫探测，必须用 mod_evasive，且务必启用 DOSEnabled 并设好 DOSPageCount 和 DOSPageInterval

默认配置下，mod_evasive 只对 GET 请求生效；若不限制 POST/PUT，等于留了后门。

验证是否真正生效的三个动作

配完不验证等于没配：

运行 apache2ctl -t -D DUMP_RUN_CFG | grep -i "dosev\|limit"，确认 DOS_ENABLED 被识别且参数已加载
用 curl -X POST -H "X-Test: 1" http://your.site/api/v1/submit 快速连发5次，观察第6次是否返回 403（或日志中出现 Blacklisting 记录）
检查 /var/log/mod_evasive/ 下是否有对应 IP 的临时文件生成，确认拦截逻辑走通

注意：若看到大量 503 而非 403，大概率是 DOSSystemCommand 触发了 iptables 但规则未生效，或网络中间设备丢包，需单独排查防火墙链路。