网站被DDoS怎么应急？PHP限流与数据库连接池配置-php教程-PHP中文网

429 too many requests 是 ddos 应急时最该快速看到的响应码——它意味着限流已生效；需分层防护、绑定真实标识（如 api_key）、用 redis+lua 原子限流、科学配置连接池与超时，否则配置再全也白搭。

网站被ddos怎么应急？php限流与数据库连接池配置

429 Too Many Requests 是 DDoS 应急时最该快速看到的响应码——它意味着限流已生效，而不是数据库在报 MySQL server has gone away 或 PHP 进程在疯狂 fork。应急不是加个中间件就完事，而是分层卡住：先拦住无效请求，再防住连接耗尽，最后保住数据库不雪崩。

PHP 层限流必须绑定真实标识，不能只靠 IP

攻击者用代理池或 botnet 时，$_SERVER['REMOTE_ADDR'] 会失效。直接按 IP 限流等于形同虚设。

优先取 X-Forwarded-For 头（但需 Nginx/HAProxy 显式信任上游）；更稳妥的是结合 user_id（登录态）或 api_key（调用方凭证）做标识
Yii 框架用 yii\filters\RateLimiter 时，重写 getRateLimit() 和 loadAllowance() 方法，把 key 构造成 api_key:hour 而非 ip:minute
存储后端必须用 Redis，且 Lua 脚本原子执行（避免并发计数错乱），示例 key：rate:abc123:2026073010
阈值别拍脑袋：若单接口峰值 QPS 是 200，设为 300 并启用滑动窗口（不是固定窗口），否则整点瞬间会突刺打穿

数据库连接池配置错误比没配更危险

PHP 本身没有原生连接池，所谓“配池子”，实际是三种互斥路径：持久连接、ProxySQL、Swoole 协程池。混用会叠加故障。

PHP 8.5.5

PHP 8.5.5 是 PHP 8.5 分支的维护更新版本。该版本延续了“小步快跑”的迭代逻辑，通过深度错误修复、底层性能微调以及安全加固，旨在为开发者提供一个更健壮、更高效的运行环境。该版本严格遵守语义化版本规范，不包含破坏性变更。

下载

用 PDO::ATTR_PERSISTENT => true 时，事务未提交或临时表残留会污染下一个请求——线上偶发数据错乱，八成是这个原因
ProxySQL 是唯一能真正控连接总数的方案：PHP 改连 localhost:6033，然后在 ProxySQL 里设 max_connections=150，并查 stats_mysql_connection_pool 表监控 ConnUsed 是否长期 >90%
Swoole 协程池只适用于常驻进程场景（如 Swoole\Http\Server），且必须用 Swoole\Coroutine\MySQL 客户端，PDO 或 mysqli 在协程里会阻塞
连接池最大数不能硬写 200：按公式算——(CPU 核心数 × 2 + 磁盘数) × 系数，读多写少用 2.5，写密集用 1.2；再乘以安全系数 0.7