Redis滑动窗口限流最实用：用Lua脚本原子执行INCR+EXPIRE，按用户ID/设备指纹区分限流，Nginx层用limit_req兜底，避免PHP层过载。
用
实现滑动窗口限流最实用
PHP 自身没有内置限流机制，靠
或文件锁既不准又难扩展。生产环境普遍用
做计数和过期控制，滑动窗口比固定窗口更平滑——比如限制「每分钟最多 60 次」，不是粗暴地整点重置，而是看最近 60 秒内实际请求数。
关键点在于：用
+
组合，但要注意并发下
可能失效（键刚被
创建就过期），所以得用 Lua 脚本原子执行：
PHP 调用时传入
，返回值为当前计数或 0（超限）。
不足以标识用户
直接按 IP 限流在 NAT、CDN、移动端场景下会误伤——同一出口 IP 可能对应成百上千用户。真实项目中要分层处理：
立即学习
“
PHP免费学习笔记（深入）
”；
PHP 8.5.5
PHP 8.5.5 是 PHP 8.5 分支的维护更新版本。该版本延续了“小步快跑”的迭代逻辑，通过深度错误修复、底层性能微调以及安全加固，旨在为开发者提供一个更健壮、更高效的运行环境。该版本严格遵守语义化版本规范，不包含破坏性变更。
下载
优先从请求头取
或
（但需校验可信代理链，否则可伪造）
登录态用户用
（从
session
或 JWT 解析），未登录用户可用设备指纹（如
）
接口级限流建议加业务维度，比如
和
分开计数
和
是 Nginx 层兜底方案
PHP 层限流是业务逻辑，但高并发下请求还没进 PHP 就该被拦住。Nginx 的
模块更轻量：
注意：
允许突发，
表示不延迟响应（直接 503），否则会排队。同时调大
防止因缓冲区小导致限流响应被截断。
漏桶 vs 令牌桶：PHP 里别自己手写算法
网上很多「用
记录时间戳+排序」的漏桶实现，性能差且无法分布式。真正需要令牌桶语义（比如允许短时突发、平滑放行）时，应直接用 Redis 的
（Redis 6.2+）或封装好的库如
。自己实现容易在重置逻辑、精度（毫秒级窗口）、并发计数上出错。
复杂点在于：限流规则本身要可配置化（数据库 or Redis Hash 存储不同接口的
/
），而不是硬
编码
在代码里；另外务必记录被限流的请求日志（含 IP、URI、时间戳），否则问题来了没法排查。
Redissleep()RedisINCREXPIREEXPIREINCRlocal key = KEYS[1]
local limit = tonumber(ARGV[1])
local window = tonumber(ARGV[2])
local current = redis.call("INCR", key)
if current == 1 then
redis.call("EXPIRE", key, window)
end
if current > limit then
return 0
end
return current$redis->eval($script, [$key, $limit, $window])$_SERVER['REMOTE_ADDR']X-Forwarded-ForX-Real-IPuser_idUser-Agent + IP + JS 生成的 client_id"login:{$ip}""search:{$user_id}"fastcgi\_bufferslimit\_reqlimit_reqlimit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;
server {
location /api/ {
limit_req zone=api burst=20 nodelay;
fastcgi_pass php-fpm;
}
}burstnodelayfastcgi_buffersfile_put_contents()CL.THROTTLEphp-rate-limiterrateburst