redis-py直接写限流逻辑比slowapi更可控，因避免封装隐式行为；固定窗口需用pipeline或lua保证incr+expire原子性，key须含ip或用户id等区分维度，滑动窗口则用zset配合lua脚本实现精确限流。
redis-py 直接写限流逻辑比引入 slowapi 更可控，尤其当你只需要按 IP 或用户 ID 做简单配额控制时——不需要额外抽象层，也避免了中间件封装带来的隐式行为和调试盲区。
固定窗口计数器：最简但必须保证原子性
用 INCR + EXPIRE 是入门首选，但这两条命令不能分开发。并发高时，INCR 成功而 EXPIRE 失败，会导致 key 永久存在，后续所有请求都被误拒。
- 必须用
pipeline包裹：pipe = redis_client.pipeline(); pipe.incr(key); pipe.expire(key, window); pipe.execute() - 或更稳妥地用 Lua 脚本（Redis 单线程执行，天然原子）：
redis_client.eval(lua_script, 1, key, str(window)) - key 设计要带区分维度，比如
f"rate:ip_{request.client.host}"或f"rate:user_{user_id}"，否则所有请求共用一个计数器 - 窗口时间建议设为整分钟/小时（如 60、3600），避免用
time.time() // 60这种浮点截断——不同进程时钟漂移可能导致 key 不一致
滑动窗口：用 ZSET 实现精确的“最近 N 秒”限制
固定窗口的临界突刺问题（比如第 59 秒来 100 次，第 60 秒又来 100 次）在风控或付费 API 场景下不可接受，这时得上滑动窗口。核心是用 ZSET 存时间戳，靠 ZREMRANGEBYSCORE 清旧、ZCARD 查数、ZADD 记新。
Python 3.14.2
下载
Python 3.14.2是Python编程语言在2025年12月5日发布的稳定版本，属于3.14系列的第二个维护更新。该版本包含了18项修复，重点解决了多进程、数据类及正则表达式等模块的回归问题，并修复了CVE-2025-12084等安全漏洞。此版本标志着自由线程模式（移除GIL）正式获得官方支持，是Python发展的重要里程碑。
- Lua 脚本必须一次性完成清旧→查数→加新→设过期四步，拆成多条命令会竞态
-
EXPIRE时间要设为window + 1，防止 key 在窗口末尾被提前删掉 - 注意
ZADD的 score 必须是整数秒（不是毫秒），否则ZREMRANGEBYSCORE边界计算容易出错 - 不建议在每次请求里调用
zremrangebyscore再zcard再zadd——三轮 RTT 延迟叠加，QPS 会掉一半以上
FastAPI 中嵌入限流：别依赖 @limiter.limit 装饰器
slowapi 的装饰器写法看着简洁，但实际埋了几个坑：key 函数返回值若含特殊字符（如冒号、空格），会污染 Redis key；异常处理器默认返回 HTML 页面，在 JSON API 场景下需要重写；且它把限流逻辑和路由强耦合，没法按路径前缀或 header 动态开关。
- 推荐在中间件里统一处理：
app.middleware("http")里提取request.client.host或request.headers.get("X-Api-Key") - 限流检查失败时，直接
raise HTTPException(status_code=429, detail="Rate limit exceeded")，不走slowapi的异常链 - 如果要支持不同 endpoint 不同策略，把限流规则存在 Redis 的
HASH里（如rate:rules:/api/v1/upload），运行时读取，避免改代码发版
生产环境必须检查的三个细节
本地跑通不等于线上可用。这三个点最容易被跳过，但一出问题就是大面积 429。
-
redis-py连接池没配max_connections，高并发下连接耗尽，限流逻辑本身卡住，反而让流量全涌向后端 - Redis 键没加命名空间前缀（如
rate:），和其他业务 key 冲突，FLUSHDB或 TTL 自动清理时误删 - 没监控
redis_client.info()["connected_clients"]和redis_client.info()["used_memory_human"]，内存爆掉或连接数打满时毫无感知
@limiter.limit 解决。大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
