Gin框架通过中间件限制同一账号多端同时在线-Golang-PHP中文网

必须用用户id作为限流key且认证中间件须先执行，因ip限流无法识别同一用户多端登录；若认证未前置，c.get("user_id")为空导致所有请求共用桶；sync.map需配合定时清理，生产环境应选redis+lua原子脚本。

gin框架通过中间件限制同一账号多端同时在线

不能只靠 IP 或全局中间件，必须用用户 ID 作为限流 key，并确保认证中间件先执行。

为什么直接用 `c.ClientIP()` 做限流会失效

同一用户在手机、iPad、笔记本上登录，IP 完全不同，但账号相同。用 $binary_remote_addr（Nginx）或 c.ClientIP()（Gin）做维度，等于放行所有多端行为——这不是“限制并发”，是“鼓励并发”。

常见错误现象：

用户 A 登录 PC 后再登录手机，PC 端请求突然 429
后台日志显示不同 IP 的请求被合并计数，但实际没关联到用户
限流中间件里 c.GetString("user_id") 总是空字符串

必须保证认证中间件在限流前执行

限流中间件要读取用户标识（如 user_id），这个值必须由前置的认证中间件写入 c 上下文。否则 c.Get("user_id") 永远为 nil，key 变成空字符串，所有用户共享同一个桶。

实操要点：

注册顺序必须是：认证中间件 → 限流中间件 → 业务 handler
认证中间件内务必调用 c.Set("user_id", uid)（不是 c.Set("uid", ...)，保持 key 统一）
不要在限流中间件里重复解析 token 或 cookie——那是认证层的事
如果用了 JWT，确保解析后校验了签名和过期时间，再写 user_id

用 `golang.org/x/time/rate` + `sync.Map` 实现 per-user 限流

官方 rate.Limiter 是并发安全的，但每个用户需独立实例。用 sync.Map 缓存可避免锁竞争，也防止内存无限增长。

Gin框架 1.9.0

Gin框架 1.9.0版本源码包下载，版本号 1.9.0，适合需要 sonic JSON 支持、路由修复和内容协商改进的 Go Web 开发场景。

下载

关键代码逻辑：

var userLimiters sync.Map // map[string]*rate.Limiter

func UserRateLimitMiddleware(limit int, window time.Duration) gin.HandlerFunc {
    return func(c *gin.Context) {
        uid, exists := c.Get("user_id")
        if !exists {
            c.AbortWithStatusJSON(http.StatusUnauthorized, gin.H{"error": "missing auth"})
            return
        }
        key := fmt.Sprintf("%s:%s", uid, c.Request.URL.Path) // 区分接口粒度

        limiter, _ := userLimiters.LoadOrStore(key, rate.NewLimiter(rate.Every(window/time.Duration(limit)), limit))
        if !limiter.(*rate.Limiter).Allow() {
            c.Header("X-RateLimit-Remaining", "0")
            c.AbortWithStatusJSON(http.StatusTooManyRequests, gin.H{"error": "too many concurrent sessions"})
            return
        }
        c.Next()
    }
}

注意点：