nginx 通过 limit_req 和 limit_conn 模块近似实现漏桶模型限流，支持按 ip 或用户标识（如 api key）控制请求速率与并发连接数，并可自定义响应及日志记录。
在 Nginx 中，nginx.conf 本身不直接实现复杂的限流算法（如令牌桶、漏桶的完整逻辑），但可通过内置模块（主要是 limit_req 和 limit_conn）高效、轻量地实现生产级的请求速率限制和连接数控制——本质是基于漏桶模型的近似实现，兼顾性能与实用性。
使用 limit_req 模块做请求速率限流
这是最常用的限流方式，适用于控制单位时间内的请求数（如 100r/s），防止突发流量压垮上游服务。
- 在
http块中定义限流区域（zone），指定共享内存大小和速率：
http {
limit_req_zone $binary_remote_addr zone=ip_limit:10m rate=10r/s;
# $binary_remote_addr：按客户端 IP 限流（更省内存）
# zone=ip_limit:10m：分配 10MB 共享内存存储状态
# rate=10r/s：平均速率 10 请求/秒（漏桶出水速率）
}- 在
server或location块中启用该限流：
location /api/ {
limit_req zone=ip_limit burst=20 nodelay;
# burst=20：允许最多 20 个请求暂存（桶容量）
# nodelay：不延迟执行，超限立即 503；去掉则按漏桶匀速处理（可能排队等待）
proxy_pass http://backend;
}注意：burst 不是“额外放行”，而是缓冲区；nodelay 决定是否允许突发（适合 API 网关），无此参数则严格匀速（适合防刷）。
按用户标识（如 token 或 header）精细化限流
仅靠 IP 不够灵活，可结合 $http_x_api_key 或 $arg_uid 实现租户/用户级限流：
limit_req_zone $http_x_api_key zone=api_key_limit:10m rate=100r/m;
# 限制每个 API Key 每分钟最多 100 次请求
<p>location /v1/ {
limit_req zone=api_key_limit burst=50;</p><h1>若 header 缺失，$http_x_api_key 为空字符串，会统一限流所有未带 key 的请求</h1><pre class="brush:php;toolbar:false;"># 可用 map 指令预处理，将空值映射为特殊标记避免干扰}
限制并发连接数（limit_conn）防资源耗尽
与 limit_req 互补：前者控“频次”，后者控“同时在线连接数”，对下载、长轮询等场景关键：
- 定义连接限制区域（基于变量，如 IP 或虚拟主机名）：
http {
limit_conn_zone $binary_remote_addr zone=conn_per_ip:10m;
limit_conn_zone $server_name zone=conn_per_host:1m;
}- 在 location 中应用：
location /download/ {
limit_conn conn_per_ip 5; # 单 IP 最多 5 个并发连接
limit_conn conn_per_host 100; # 整个 server 最多 100 并发连接
limit_rate 512k; # 额外限速，防单连接占满带宽
}组合策略与异常处理建议
真实场景需组合使用，并做好可观测性：
- 限流触发时默认返回 503，可通过
error_page自定义响应（如 JSON 提示）：
error_page 503 @rate_limit_exceeded;
location @rate_limit_exceeded {
return 429 '{"error":"Too Many Requests","retry_after":1}';
add_header Content-Type "application/json";
}- 开启日志记录限流行为，便于分析攻击或误配：
log_format limitlog '$remote_addr - $remote_user [$time_local] '
'"$request" $status $body_bytes_sent '
'"$http_referer" "$http_user_agent" '
'rt=$request_time uct="$upstream_connect_time" '
'uht="$upstream_header_time" urt="$upstream_response_time" '
'limit_status=$limit_status'; # 新增 $limit_status 变量（需 nginx ≥ 1.7.7）
access_log /var/log/nginx/limit.log limitlog;关键提醒：所有限流配置依赖共享内存（zone），务必确保 worker_processes 与 worker_connections 匹配物理资源；测试时用 ab 或 wrk 验证 burst 行为，避免线上误配导致大面积 503。
