Laravel如何处理API请求频率限制_Laravel API限流策略与配置方法-Laravel-PHP中文网

Laravel如何处理API请求频率限制_Laravel API限流策略与配置方法

尼克

发布： 2025-11-23 15:10:02

原创

1004人浏览过

Laravel通过内置throttle中间件和令牌桶算法实现API限流，支持按用户ID、IP或自定义标识控制请求频率；可在路由中直接配置基础规则，如每分钟60次，也可在RouteServiceProvider中使用RateLimiter定义命名策略，实现差异化限流（如VIP用户更高配额）；默认基于缓存记录请求次数，推荐高并发场景使用Redis驱动以保证一致性，并可通过调整缓存存储与过期时间优化性能，有效防止接口滥用。

laravel如何处理api请求频率限制_laravel api限流策略与配置方法

Laravel 提供了简单而强大的机制来限制 API 请求频率，防止接口被恶意刷量或滥用。通过内置的限流中间件，开发者可以轻松配置每个用户或 IP 在指定时间内允许发起的请求数量。

API 限流的基本原理

Laravel 使用令牌桶算法结合缓存系统实现请求频率控制。每次请求到达时，系统会检查当前用户或标识在特定窗口时间内已发起的请求数，若超过设定阈值则返回 429 Too Many Requests 响应。

限流规则可基于：

用户 ID（适用于已认证用户）
IP 地址（适用于未登录场景）
API Token 或其他自定义标识

使用内置限流中间件

Laravel 自带 throttle 中间件，可在路由中直接调用。基本语法为 throttle:最大请求数,分钟数。

示例：限制每个 IP 每分钟最多 60 次请求

Route::middleware('throttle:60,1')->group(function () {
Route::get('/api/data', [DataController::class, 'index']);
});

也可设置更长时间窗口，如每小时 1000 次：

Route::middleware('throttle:1000,60')->apiResource('/items', ItemController::class);

基于用户身份的差异化限流

对于已登录用户，可根据角色或权限设置不同限流策略。Laravel 支持在中间件中传入闭包来自定义逻辑。

例如：普通用户每分钟 10 次，VIP 用户每分钟 100 次

左手医生开放平台

左医科技医疗智能开放平台

查看详情

Route::middleware(function ($request, $next) {
$maxAttempts = $request->user()?->is_vip ? 100 : 10;
return \Illuminate\Routing\Middleware\ThrottleRequests::class . ":{$maxAttempts},1";
})->group([...]);

更推荐的方式是定义命名限流策略。在 App\Providers\RouteServiceProvider 的 configureRateLimiting() 方法中注册：

RateLimiter::for('api', function (Request $request) {
    if ($request->user()?->is_vip) {
        return Limit::perMinute(100);
    }
    return Limit::perMinute(10)->by($request->ip());
});

然后在路由中使用：

Route::middleware(['throttle:api'])->get('/api/data', [...]);