Nginx 中如何通过配置实现 API 接口的请求配额限制-Nginx-PHP中文网

nginx 通过 limit_req_module 实现基于时间窗口的请求速率限制，支持按 ip、用户标识或路径差异化配额，并可排除 options 预检请求；需配合后端协同避免错位限流。

nginx 中如何通过配置实现 api 接口的请求配额限制

Nginx 本身不提供“配额”（如每日/每月调用次数）这类带时间窗口累计的资源计量能力，但它可通过 limit_req_module 模块实现基于时间窗口的请求速率限制，这是生产环境中最常用、最贴近“配额效果”的方案。关键在于合理设计限流粒度、缓冲策略与例外处理。

按客户端 IP 实现基础请求配额

适用于防止单个用户滥用，例如“每分钟最多 60 次请求”：

http {
    limit_req_zone $binary_remote_addr zone=api_per_ip:10m rate=1r/s;
}
<p>server {
location /api/ {
limit_req zone=api_per_ip burst=60 nodelay;
proxy_pass <a href="https://www.php.cn/link/65b5b8d1f89bf53a5713bc3afdd83e9e">https://www.php.cn/link/65b5b8d1f89bf53a5713bc3afdd83e9e</a>;
}
}</p>

说明：
• rate=1r/s 表示每秒允许 1 个请求，等效于每分钟 60 个；
• burst=60 允许突发 60 个请求（比如用户在第 1 秒集中发起），超出部分立即拒绝（503）；
• nodelay 避免排队等待，保证响应确定性。

按 API 路径或用户标识做差异化配额

若需对不同接口或已鉴权用户设置不同额度，可借助 map 指令动态生成限流键：

map $http_authorization $user_key {
    ""          $binary_remote_addr;   # 未登录用户按 IP 限
    ~^Bearer\s+(?<token>\S+)  $token; # 提取 JWT token 作 key
}
<p>limit_req_zone $user_key zone=api_by_user:20m rate=10r/m;</p><div class="aritcle_card flexRow artxards">
											<div class="artcardd flexRow">
												<a class="aritcle_card_img" rel="nofollow" href="/xiazai/skill6848" title="Nginx Hosting"><img
														src="https://img.php.cn/upload/skill/000/000/081/179116929868126.jpg" alt="Nginx Hosting" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a>
												<div class="aritcle_card_info flexColumn">
													<a rel="nofollow" href="/xiazai/skill6848" title="Nginx Hosting" class="overflowclass">Nginx Hosting</a>
													<p class="overflowclass">通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。</p>
												</div>
												<a rel="nofollow" href="/xiazai/skill6848" title="Nginx Hosting" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span>
												</a>
											</div>
										</div>
<p>location /api/v1/data {
limit_req zone=api_by_user burst=10 nodelay;
proxy_pass <a href="https://www.php.cn/link/65b5b8d1f89bf53a5713bc3afdd83e9e">https://www.php.cn/link/65b5b8d1f89bf53a5713bc3afdd83e9e</a>;
}</p></token>

说明：
• 将未授权请求归为 IP 级别，已授权请求按 token 唯一标识；
• rate=10r/m 表示每分钟 10 次（注意单位支持 r/s、r/m）；
• zone 大小需匹配预期并发用户量，20m 可存储约 16 万个唯一 key。

排除 OPTIONS 预检请求干扰

跨域场景下，浏览器会先发 OPTIONS 请求，不应计入配额：

map $request_method $limit_key {
    default     $binary_remote_addr;
    OPTIONS     "";
}
<p>limit_req_zone $limit_key zone=api_no_preflight:10m rate=5r/s;</p><p>location /api/ {
limit_req zone=api_no_preflight burst=10 nodelay;</p><h1>CORS 头配置（略）</h1><pre class="brush:php;toolbar:false;">if ($request_method = 'OPTIONS') {
    add_header Access-Control-Allow-Origin '*';
    add_header Access-Control-Allow-Methods 'GET,POST,OPTIONS';
    add_header Access-Control-Allow-Headers 'Content-Type,Authorization';
    return 204;
}
proxy_pass https://www.php.cn/link/65b5b8d1f89bf53a5713bc3afdd83e9e;

}

说明：
• map 把 OPTIONS 映射为空字符串，使 limit_req 不生效；
• 真正的业务请求（GET/POST 等）仍受配额约束；
• 预检响应必须包含完整 CORS 头并返回 204，否则浏览器会拦截后续请求。