laravel限流键必须合法：限流器名称仅含字母、数字、下划线和短横线且不以数字开头；自定义by()键需清洗或哈希处理；路由中间件名称须与注册名严格一致，否则限流失效。
当Laravel限流策略中使用的缓存键包含空格、斜杠、问号、井号等特殊字符时，Redis或Memcached驱动会直接拒绝写入，导致RateLimiter计数器无法初始化，所有请求被无差别放行——这等于限流形同虚设。
限流键必须是合法缓存键名
第一步：打开 app/Providers/AppServiceProvider.php，在 boot() 方法中注册命名限流器。
第二步：调用 RateLimiter::for() 时，传入的限流器名称（第一个参数）必须只含字母、数字、下划线和短横线，且不能以数字开头。
第三步：该名称将作为缓存键前缀的一部分参与拼接，例如 'api-by-device' 是合法的，而 'api/by/device' 或 'api v2' 会导致缓存驱动抛出 InvalidArgumentException 异常，且不报错日志——请求照常通过，但限流完全失效。
这一步操作起来很简单，直接把文件拖进去就行。
自定义限流键（by()返回值）的安全处理
方法一：使用请求头字段做限流依据时，必须清洗原始值
$request->header('X-Device-ID') 可能为空、含空格或控制字符，直接传入 by() 会导致缓存键非法。应先 trim() 并替换非ASCII字符：
【$key = str_replace([' ', "\t", "\n", "\r"], '_', trim($request->header('X-Device-ID')));】
方法二：用哈希生成稳定键名
对业务标识做 md5 或 sha256 哈希，彻底规避字符风险。例如：by(md5($request->header('X-App-Version'))) ——哈希后字符串长度固定、无特殊字符、分布均匀。
注意：不要用 urldecode() 处理原始 header 值，它可能引入 %00 等非法字节，某些缓存驱动会静默截断或拒绝。
路由中间件引用时的键名一致性校验
在路由定义中调用 ->middleware('throttle:xxx') 时，xxx 必须与 RateLimiter::for('xxx', ...) 中注册的名称完全一致。
大小写敏感，且不允许额外空格。例如注册了 'api-by-device'，就不能在路由中写成 ' throttle:api-by-device ' 或 'Api-By-Device'。
若名称不匹配，Laravel 不报错，而是退回到默认限流逻辑（按 IP 或用户 ID），造成风控策略漏防。
