Golang Echo框架请求限流与防刷机制设计-Golang-PHP中文网

应使用echo-contrib/middleware.ratelimiter，它底层基于golang.org/x/time/rate，已处理并发安全、时钟漂移、context取消等细节；手写易致goroutine泄漏或单机限流误当全局限流，多实例部署必须配redis存储并设key过期。

golang echo框架请求限流与防刷机制设计

限流中间件该用 `github.com/labstack/echo-contrib/middleware` 还是自己手写

直接用 echo-contrib/middleware 里的 RateLimiter 是最稳妥的选择，它底层基于 golang.org/x/time/rate（即 Limiter），支持内存共享计数，且已处理并发安全、时钟漂移、请求上下文取消等边界问题。自己手写容易漏掉 ctx.Done() 检查导致 goroutine 泄露，或在多实例部署时误以为“全局限流”实则只是单机限流。

注意：该中间件默认使用内存存储（memory.NewStore()），仅适用于单实例；若用 K8s 多 Pod 或多机器部署，必须替换为 Redis 存储，否则防刷完全失效。

启用 Redis 存储需传入 redis.NewStore(&redis.Options{Addr: "localhost:6379"})
务必设置 StoreConfig.Expiration，否则 Redis key 永不过期，内存持续增长
RateLimiter 默认对所有路径生效，如只需保护登录接口，得用 echo.Group 分组注册中间件

`RateLimiter` 的 `rate.Limit` 和 `burst` 怎么配才合理

这两个参数不是“QPS 数值”和“最大并发数”的简单对应。rate.Limit 是每秒允许的请求数（如 10 表示每秒最多 10 次），burst 是令牌桶初始容量，也决定突发流量容忍上限。关键在于：即使 burst=100，如果 rate.Limit=1，那 100 个请求只能在 100 秒内匀速放行，而非瞬间通过。

登录接口建议：rate.Limit = 5（每秒最多 5 次尝试），burst = 10（允许短时重试，但防暴力爆破）
用户资料查询接口可设为 rate.Limit = 100，burst = 200，兼顾体验与负载
切勿把 burst 设得远大于 rate.Limit，比如 Limit=1 却 burst=1000，等于变相关闭限流
测试时用 ab -n 50 -c 20 http://localhost:8080/login 观察 429 Too Many Requests 返回比例，比看文档更准

如何按 IP + 用户 ID 双维度限流，而不是只靠 IP

echo-contrib/middleware.RateLimiter 默认只提取 c.RealIP()，要实现“同一用户从不同 IP 登录也不超频”，必须自定义 IdentifierFunc。这个函数返回的字符串就是限流键（key），决定了谁和谁被算作同一主体。

Echo框架 5.1.0

Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。

下载

示例逻辑：优先取 JWT 中的 user_id，降级取 X-User-ID header，最后 fallback 到 IP：

middleware.RateLimiter{
  Store: store,
  IdentifierFunc: func(c echo.Context) string {
    // 尝试从 token 解析 user_id
    user := c.Get("user")
    if user != nil {
      if claims, ok := user.(*jwt.Token).Claims.(jwt.MapClaims); ok {
        if uid, ok := claims["user_id"].(string); ok {
          return "uid:" + uid
        }
      }
    }
    // 否则退回到 header 或 IP
    if id := c.Request().Header.Get("X-User-ID"); id != "" {
      return "header:" + id
    }
    return c.RealIP()
  },
}