nginx对特定客户端实施严格速率限流需四步：使用$binary_remote_addr作key精准识别；禁用burst和nodelay实现硬性限制；为敏感路径单独配置独立limit_req_zone；配合503自定义提示与日志追踪。
在 Nginx 中对特定客户端实施严格的速率限流，核心是精准识别客户端 + 严格控制其请求节奏，避免突发、延迟容忍或绕过。这不是简单加个 limit_req 就能达成的，关键在于参数组合和细节取舍。
精准识别客户端：用 $binary_remote_addr 而非 $remote_addr
必须使用 $binary_remote_addr 作为限流 key。它把 IPv4 地址压缩成固定 4 字节、IPv6 压缩成 16 字节，大幅节省共享内存空间，同时避免因字符串格式差异（如带端口、空格）导致同一 IP 被识别为多个不同 key。如果误用 $remote_addr，限流会失效或内存快速耗尽。
配置 strict 模式：禁用 burst 和 nodelay
要“严格”，就不能允许任何弹性空间。这意味着：
- 不设
burst参数——一旦超过 rate，立刻拒绝，不排队缓冲 - 不加
nodelay——这个参数本身是为“宽松突发”服务的，严格场景下必须排除 - rate 值直接对应硬性上限，例如
rate=2r/s就是每秒最多放行 2 个请求，第 3 个无论何时来都返回 503
独立 zone + 绑定最小粒度 location
不要复用全局限流 zone，为该特定客户端（或其所属群体）单独定义 zone，例如：
http {limit_req_zone $binary_remote_addr zone=strict_client:10m rate=1r/s;
}
server {
location /api/pay {
limit_req zone=strict_client;
proxy_pass http://backend;
}
}
这样既避免与其他规则冲突，又可将限流精确作用于敏感路径（如支付、登录、短信发送），而不是整个站点。
配合 503 自定义提示与日志追踪
严格限流后，用户会频繁收到 503。建议：
- 配
error_page 503 /rate-limited.html;返回友好提示，而非默认空白页 - 在 limit_req 指令所在 location 中加
log_format或利用$status记录被限流请求，便于事后审计异常 IP - 必要时结合 geo 或 map 模块，对已知高风险 IP 段直接设更低 rate（如 0.5r/s），实现分级管控
