核心是按接口特征动态绑定独立限流桶：用map从$uri或$http_x_api_version等提取zone名，每个zone对应实际吞吐能力；location中通过$rate_zone变量动态启用限流，burst设为rate的2–3倍并加nodelay，优先用api key或jwt解析后的业务标识做key，ip仅作兜底。
核心是让每个接口走独立的限流桶，而不是全站共用一个 rate。关键不在 location 多少个，而在 zone 怎么分、key 怎么选、怎么动态绑定。
按路径前缀分组，用 map 映射 zone 名
避免为每个接口写一堆 location。用 map 提前从请求路径提取特征，转成 zone 名变量：
-
$uri（推荐）：不含 query string，匹配稳定，比如
~^/api/v1/login→"login_zone" -
$http_x_api_version：若版本由 header 控制，直接映射
"v2"→"v2_zone" -
复合键示例：
map "$request_method:$uri" $req_key { ~^(POST|PUT):/api/ "write"; ~^(GET|HEAD):/api/ "read"; }
每个 zone 对应一类接口的真实能力
zone 必须在 http 块顶层定义，不能嵌套。rate 要反映后端实际吞吐，不是拍脑袋：
-
limit_req_zone $binary_remote_addr zone=login_zone:10m rate=5r/m;——登录防爆破，每分钟 5 次 -
limit_req_zone $http_x_api_key zone=report_zone:10m rate=2r/s;——报表导出耗资源，按调用方限速 -
limit_req_zone $binary_remote_addr zone=static_zone:10m rate=100r/s;——静态资源可宽松
在 location 中动态启用对应限流
一个通用 location 就够，靠变量自动选桶：
location / { limit_req zone=$rate_zone burst=20 nodelay; proxy_pass http://backend; }- burst 值建议设为 rate 的 2–3 倍，缓冲正常波动
- 加 nodelay 表示超限立刻返回 429，不排队；去掉则按漏桶匀速放行
补充真实身份识别，不只看 IP
NAT 或 CDN 后，$binary_remote_addr 会失效。优先用业务标识：
-
API Key：用
$http_x_api_key作为 key，区分调用方 - JWT 解析：配合 lua-resty-jwt，在 access_by_lua_block 中解析 sub 或 client_id，set 到变量供限流用
-
兜底 IP 限流：加一层
limit_req_zone $binary_remote_addr zone=ip_fallback:10m rate=100r/m;，防无 key 扫描
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
