高并发下必须用Redis实现精准限流，CACHE_DRIVER须设为redis且配置正确；throttle中间件默认按IP+路径限流，需通过configureRateLimiting定义用户角色、设备指纹或租户等动态策略，并确保auth中间件生效。
高并发场景下接口被恶意刷量或突发流量冲击导致数据库连接耗尽、CPU飙升、响应超时甚至服务崩溃，必须在请求入口层做精准限流控制。
确认Redis缓存驱动已生效
限流逻辑依赖原子性计数器，array或file驱动在多worker进程下完全失效，所有请求都视为“首次访问”。【CACHE_DRIVER必须设为redis】
检查 .env 文件：CACHE_DRIVER=redis，REDIS_HOST、REDIS_PORT、REDIS_PASSWORD 配置正确。
运行 php artisan tinker，执行 cache()->store('redis')->put('test_limit', 'ok', 10)，能成功写入且10秒后过期，说明Redis连通正常。
若 config/cache.php 中 default 不是 'redis'，而 throttle 中间件又没显式指定 store，限流将静默退化为进程内计数——这是线上限流失效最常见原因。
用内置 throttle 中间件快速启用基础限流
直接在路由定义中添加 middleware('throttle:60,1')，表示每分钟最多60次请求。
该写法默认使用 IP + 请求路径作为 key，适合测试环境或低敏感接口。
⚠️ 注意：此写法不区分登录态，游客和登录用户共享同一配额；若走 CDN 或 NAT 网关，所有真实用户会共用一个 IP，导致误杀。
按用户身份动态区分限流策略
第一步：在 app/Providers/RouteServiceProvider.php 的 configureRateLimiting() 方法中注册命名策略：
use Illuminate\Cache\RateLimiting\Limit;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\RateLimiter;
RateLimiter::for('api_by_role', function (Request $request) {
if ($request->user()?->isVip()) {
return Limit::perMinute(500)->by($request->user()->id);
} elseif ($request->user()) {
return Limit::perMinute(100)->by($request->user()->id);
} else {
return Limit::perMinute(10)->by($request->ip());
}
});
第二步：在 routes/api.php 中显式绑定该策略：
Route::middleware('throttle:api_by_role')->group(function () {
Route::get('/data', [DataController::class, 'index']);
});
第三步：确保该路由已包含 auth:sanctum（或对应 guard），否则 $request->user() 始终为 null，全部降级为按 IP 限流却不报错。
绕过IP共享陷阱：用业务标识替代IP限流
方法一：从请求头提取设备指纹
在 App\Http\Middleware\EnsureThrottleKeyIsSet.php 中设置：
$request->attributes->set('throttle_key', $request->header('X-Device-ID') ?: 'guest_'.md5($request->ip()));
方法二：按租户隔离（SaaS场景）
在 configureRateLimiting() 中：
RateLimiter::for('tenant_api', function (Request $request) {
$tenant = $request->header('X-Tenant-ID');
if (!$tenant || !ctype_alnum(str_replace(['-', '_'], '', $tenant))) {
throw new HttpResponseException(response()->json(['error' => 'Missing or invalid X-Tenant-ID'], 400));
}
return Limit::perMinute(200)->by($tenant);
});
【by() 返回值必须是纯字母数字字符串】 含空格、斜杠、中文会导致 Redis key 写入失败，限流彻底失效，且无日志提示。
紧急熔断：手动触发限流计数器重置
当发现某接口已被刷爆，需立即清空当前窗口计数器并临时封禁，执行：
php artisan tinker
→ RateLimiter::clear('api_by_role', request());
该命令会清除当前请求所匹配的 key 对应的所有计数记录，适用于运营活动前预热、攻击发生后人工干预等场景。
