nginx与spring cloud gateway需分层协作实现统一限流：nginx在基础设施层按ip/路径做粗粒度兜底防护，gateway在业务层基于用户、token等维度做精细策略管控，二者职责分离、状态解耦、响应对齐。
在微服务网关架构中，Nginx 本身不直接“统一部署”业务级限流策略，而是作为**前置基础设施层**承担粗粒度、高性能的流量压制。真正的“统一限流策略”需由 Nginx 与 Spring Cloud Gateway（或类似网关）分层协作实现——Nginx 负责兜底防护，Gateway 负责业务感知的精细管控。不能把限流全压给 Nginx，也不能只靠 Gateway 挡全部流量。
Nginx 层：定义全局防护规则，不依赖业务上下文
在 http 块中集中声明共享内存区和基础速率限制，所有后端服务共用一套底层防护：
-
按 IP + 路径组合限速（防暴力枚举）：
limit_req_zone $binary_remote_addr$uri zone=api_enum:10m rate=3r/s;
适用于/api/login、/api/sms/send等高风险路径，避免单 IP 扫描穿透。 -
按 IP 限连+限速双控（防慢速攻击）：
limit_conn_zone $binary_remote_addr zone=perip_conn:10m;limit_conn perip_conn 10;
配合limit_req使用，既控并发连接数，也控请求频次。 -
区分敏感路径配置不同强度：
在location /api/login { ... }中启用burst=2 nodelay，返回429；
而location /api/public { ... }可设为rate=100r/s，宽松放行。
Spring Cloud Gateway 层：注入业务语义，实现策略统一纳管
Gateway 是策略落地的“中央控制器”，通过配置中心（如 Nacos）动态下发规则，所有微服务路由复用同一套限流逻辑：
-
基于 KeyResolver 动态提取限流维度：
支持按用户 ID（X-User-ID）、API 路径、Token Hash、甚至请求参数（如couponId）生成唯一 key；
同一用户调用多个服务，限流计数仍聚合在同一个 Redis key 下。 -
YAML 配置即策略声明：
redis-rate-limiter.replenishRate: 5（每秒补 5 个令牌）redis-rate-limiter.burstCapacity: 15（桶容量 15）
所有匹配Path=/api/users/**的路由自动生效，无需改代码。 -
支持运行时热更新：
修改 Nacos 中的spring.cloud.gateway.routes[0].filters，Gateway 监听到变更后自动刷新限流器实例，无需重启。
协同关键点：避免重复限流与策略冲突
Nginx 和 Gateway 不是简单叠加，而是职责分明、数据隔离：
-
限流目标分离：
Nginx 管 谁来得太猛（IP/路径维度），Gateway 管 谁不该这么用（用户/角色/API 方法维度）；
例如：某 IP 每秒发 20 次登录请求 → Nginx 在入口就拒掉 17 次；
同一用户用合法 Token 每分钟调 60 次优惠券接口 → Gateway 在路由层拦截超限请求。 -
状态存储解耦：
Nginx 使用本地共享内存（zone），不依赖外部组件；
Gateway 必须对接 Redis（或 Sentinel），确保跨实例计数一致；
二者互不读写对方状态，不存在竞争或覆盖问题。 -
错误响应对齐：
Nginx 配置limit_req_status 429；
Gateway 默认也返回429 Too Many Requests；
前端可统一处理，不暴露后端架构细节。
配套增强：让限流真正可用、可观、可运维
仅有配置不够，还需闭环能力：
-
日志标记被限流请求：
Nginx 添加log_format main "... $limit_req_status ..."；
Gateway 开启spring.cloud.gateway.filter.ratelimiter.enabled=true并接入 Sleuth 日志链路。 -
监控告警联动：
Prometheus 抓取 Nginx 的nginx_http_request_rate_limiting_dropped_total和 Gateway 的gateway_requests_throttled_total；
当某路径 429 率突增 300%，触发企业微信告警。 -
降级兜底开关：
在 Nginx 中配置if ($limit_req_status = 429) { return 503; }，配合 CDN 缓存静态提示页；
Gateway 层集成 Sentinel，限流触发时自动降级为返回缓存或默认值。
