最有效轻量的保护方式是在proxy_pass前启用限流；需将limit_req置于location中且位于proxy_pass之前，按接口脆弱性分级配置速率与突发值，并叠加limit_conn防慢速攻击，必要时结合token或白名单增强限速维度。

直接在 proxy_pass 前启用限流，是最有效、最轻量的保护方式。Nginx 的限流模块（ngx_http_limit_req_module）天然支持与反向代理协同工作，关键在于“位置”和“粒度”——限流必须落在请求进入后端前的路径上，且按业务风险分级配置。

一、基础结构：限流必须放在 proxy_pass 之前

限流指令必须写在 location 块中，且位于 proxy_pass 之前，否则不会生效：

• 正确写法：先限流，再转发

location /api/login {
  limit_req zone=login_limit burst=3 nodelay;
  limit_req_status 429;
  proxy_pass http://auth_backend;
}

• 错误写法：限流写在 proxy_pass 后，Nginx 会忽略
• 原理说明：Nginx 请求处理阶段中，limit_req 属于 access_phase，而 proxy_pass 属于 content_phase；顺序错则限流不触发。

二、按接口脆弱性差异化配置

登录、短信、支付等接口响应慢、逻辑重、易被爆破，必须单独设严限流，不能和普通查询共用一套规则：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

• /api/login：每分钟最多 5 次，突发允许 2 次 → rate=5r/m burst=2 nodelay
• /api/sms/send：每分钟仅 1 次，防刷码 → rate=1r/m burst=1 nodelay
• /api/v1/search：每秒 20 次，允许缓冲 → rate=20r/s burst=40（去掉 nodelay 可平滑排队）

所有规则都需在 http 块中预先定义对应 limit_req_zone，例如：

limit_req_zone $binary_remote_addr zone=login_limit:10m rate=5r/m;
limit_req_zone $binary_remote_addr zone=sms_limit:10m rate=1r/m;

三、叠加连接数限制，防慢速攻击

仅控请求数不够——攻击者可用少量长连接持续占满后端线程（如 Slowloris）。需补充并发连接限制：

• 在相同 location 内添加：limit_conn conn_per_ip 5;
• 配合定义：limit_conn_zone $binary_remote_addr zone=conn_per_ip:10m;
• 效果：单个 IP 最多维持 5 个活跃连接，超出会返回 503，直接切断 TCP 连接

四、绕过 IP 限流的增强手段

当攻击者使用代理池或 CDN，IP 限流失效时，可结合后端协作升级限速维度：

• Token/用户级限速：Nginx 提取请求头中的 X-Auth-Token 或 Authorization，用 map 构建限流 key（需后端确保 token 可解析）
• 白名单豁免：运维、监控、内部系统 IP 不参与限流，用 geo + map 实现动态 key 空值（key 为空则跳过限流）
• 日志联动告警：开启 limit_req_log_level notice，配合 ELK 或 Prometheus 抓取 429 日志，自动识别高频异常源