Laravel速率限制？请求限制如何设置？

RateLimiter

throttle

app/Providers/RouteServiceProvider.php

configureRateLimiting

use Illuminate\Cache\RateLimiting\Limit;
use Illuminate\Support\Facades\RateLimiter;

/**
 * Configure the application's rate limiters.
 *
 * @return void
 */
protected function configureRateLimiting()
{
    RateLimiter::for('api', function (Request $request) {
        // 针对已认证用户，允许每分钟100次请求
        // 如果是未认证用户，则按IP每分钟60次
        return $request->user()
            ? Limit::perMinute(100)->by($request->user()->id)
            : Limit::perMinute(60)->by($request->ip());
    });

    RateLimiter::for('web', function (Request $request) {
        // 网页端，通常限制宽松些，或者只限制特定操作
        return Limit::perMinute(1000); // 宽松示例
    });

    // 针对一个特定的上传功能，比如图片上传，限制更严格
    RateLimiter::for('uploads', function (Request $request) {
        return Limit::perMinute(5)->by($request->user()->id ?: $request->ip());
    });
}

// 应用到整个API路由组
Route::middleware(['api', 'throttle:api'])->group(function () {
    Route::get('/user', function () {
        // ...
    });
});

// 应用到特定路由，使用自定义的限制器名称
Route::post('/upload-image', [ImageController::class, 'upload'])
    ->middleware('throttle:uploads');

// 你也可以直接在路由中定义简单的限制规则，不依赖预设的限制器
// 例如：每分钟60次请求，每秒1次请求
Route::get('/some-endpoint', function () {
    // ...
})->middleware('throttle:60,1');

throttle:60,1

throttle:rate_limit_name

configureRateLimiting

RateLimiter

RateLimiter

use Illuminate\Support\Facades\RateLimiter;
use Illuminate\Http\Request;

class SmsController extends Controller
{
    public function sendVerificationCode(Request $request)
    {
        $key = $request->ip() . '-' . $request->input('phone'); // 或者只用手机号
        $decayMinutes = 1; // 衰减时间，1分钟

        // 尝试执行，如果达到限制则返回false
        if (RateLimiter::tooManyAttempts($key, 3)) { // 允许3次尝试
            $retryAfter = RateLimiter::availableIn($key);
            return response()->json([
                'message' => '发送验证码过于频繁，请稍后重试。',
                'retry_after' => $retryAfter, // 告诉用户多久后可以重试
            ], 429);
        }

        // 如果没有达到限制，则记录一次尝试
        RateLimiter::hit($key, $decayMinutes * 60); // 记录一次尝试，并设置过期时间

        // 实际发送验证码的逻辑
        // ...

        return response()->json(['message' => '验证码已发送。']);
    }
}

Illuminate\Cache\RateLimiting\Limit

Illuminate\Cache\RateLimiter

RouteServiceProvider

configureRateLimiting

$request->user()

use Illuminate\Cache\RateLimiting\Limit;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\RateLimiter;

protected function configureRateLimiting()
{
    // API限制：区分普通用户、VIP用户和未认证用户
    RateLimiter::for('api', function (Request $request) {
        if ($request->user()) {
            if ($request->user()->isVip()) { // 假设用户模型有isVip方法
                return Limit::perMinute(500)->by($request->user()->id); // VIP用户宽松
            }
            return Limit::perMinute(100)->by($request->user()->id); // 普通认证用户
        }
        return Limit::perMinute(60)->by($request->ip()); // 未认证用户按IP
    });

    // 针对管理员后台的API，通常限制可以更宽松，或者根本不限制（如果内部调用）
    RateLimiter::for('admin-api', function (Request $request) {
        if ($request->user() && $request->user()->isAdmin()) {
            return Limit::perMinute(1000)->by($request->user()->id);
        }
        // 非管理员尝试访问管理员API，可以给一个很低的限制甚至直接拒绝
        return Limit::perMinute(5)->by($request->ip());
    });
}

Route::middleware(['auth:api', 'throttle:api'])->group(function () {
    // 普通API
});

Route::prefix('admin')->middleware(['auth:api', 'throttle:admin-api'])->group(function () {
    // 管理员API
});

protected function configureRateLimiting()
{
    // ... 其他限制器

    // 文件上传限制：防止用户短时间上传大量文件
    RateLimiter::for('file-upload', function (Request $request) {
        return Limit::perMinute(5)->by($request->user()->id ?: $request->ip());
    });

    // 搜索接口限制：搜索通常耗费数据库资源，可以单独限制
    RateLimiter::for('search', function (Request $request) {
        return Limit::perMinute(20)->by($request->user()->id ?: $request->ip());
    });
}

Route::post('/upload', [UploadController::class, 'store'])
    ->middleware('throttle:file-upload');

Route::get('/search', [SearchController::class, 'index'])
    ->middleware('throttle:search');

// 假设你有一个中间件 ValidateApiKey，它会把api_key_id放入$request中
RateLimiter::for('api-key-access', function (Request $request) {
    if ($request->has('api_key_id')) { // 假设API Key ID存在
        // 根据API Key ID查询其对应的限制策略，例如：
        // $apiKey = ApiKey::find($request->input('api_key_id'));
        // return Limit::perMinute($apiKey->limit)->by($apiKey->id);
        return Limit::perMinute(200)->by($request->input('api_key_id')); // 示例
    }
    return Limit::perMinute(10)->by($request->ip()); // 没有API Key的按IP限制
});

Route::middleware(['validate.api.key', 'throttle:api-key-access'])->group(function () {
    // 对外开放的API
});