ThinkPHP 6 接口限流需确保路由显式绑定控制器、使用Redis缓存、正确识别IP、自定义key粒度、合理配置参数及中间件顺序，并添加Retry-After响应头。
ThinkPHP 6 的接口请求频率限制，核心是防止恶意刷量、保障服务稳定，但不能“一加了之”。关键在于限流粒度是否匹配业务场景、中间件是否真正生效、底层存储是否可靠。下面从实操角度讲清楚怎么配才管用。
确保路由绑定控制器方法
TP6 的 throttle 和 RateLimit 中间件只对显式绑定控制器方法的路由起作用。闭包路由、资源路由未显式绑定、Route::any + 匿名函数，统统不触发限流。
- ✅ 正确写法：
Route::get('api/user', 'Api/User.index')或Route::get('api/user', [User::class, 'index']) - ❌ 错误写法：
Route::get('api/user', function () { ... })或Route::resource('user', 'User')（未显式绑定） - 若必须用资源路由，需手动为每个动作绑定：
Route::resource('user', 'User')->only(['index'])->middleware('throttle:10,1')
选对缓存驱动并配置可信 IP 头
限流依赖缓存计数，而默认的 file 驱动在并发下会失效；IP 识别不准则所有请求被当成同一个地址限流。
- 将
config/cache.php中的default改为'redis'，并确认config/redis.php连接正常 - Nginx 配置中必须设置：
proxy_set_header X-Real-IP $remote_addr; - PHP 层只信任该头：
$request->header('X-Real-IP', $request->ip()) - 如需支持
X-Forwarded-For，须在config/app.php中配置'trusted_proxies' => ['127.0.0.1']
按需定制限流 key 粒度
默认 key 是 throttle:ip:123.123.123.123，所有接口共享计数——这在多数业务中不合理。要实现「按接口路径」或「按登录用户」独立限流，必须自定义 key。
- 复制
vendor/topthink/think-throttle/src/middleware/ThrottleRequests.php到app/middleware/CustomThrottle.php - 重写
getLimitedKey()方法，例如：return 'throttle:'. $request->rule()->getName() .':'. ($request->user()? $request->user()->id : $request->ip()); - 若
$request->rule()为空（如闭包路由），fallback 到$request->path() - key 中避免斜杠、冒号等特殊字符，可用
str_replace(['/', ':'], '_', $key)清洗
合理设置限流参数与中间件顺序
参数设太高形同虚设，太低又误伤正常用户；中间件挂载位置错误，可能导致未登录用户被提前拦截或权限校验被跳过。
-
max_attempts和decay_minutes要结合接口实际耗时算：若 P95 响应时间是 800ms，1 分钟理论最大吞吐约 75 次，max_attempts设 80 比设 100 更稳妥 -
decay_minutes => 0.1（即 6 秒窗口）适合突发流量场景，恢复快、误杀少 - RateLimit 中间件应放在路由解析之后、权限校验之前；若需区分登录/游客，建议在权限中间件后加一层用户级限流
- 务必在异常处理器中手动添加
Retry-After响应头，提升前端友好性
