快速识别接口被刷的迹象
当你发现网站响应变慢，或者某个接口的请求量突然飙升，很可能就是被刷了。多数情况下，被刷接口的每秒请求量会达到正常值的10倍以上，伴随大量499或502错误，监控报警系统此时应该发挥作用，你可以设置每秒请求数的阈值，一旦超过就通过短信或钉钉通知你，常用的监控工具包括Prometheus、Grafana，或云服务商自带的CloudMonitor，行业共识认为，早发现1分钟，就能减少大量损失。
网站被恶意刷接口时如何快速限流？
这是最紧急的问题，核心思路是立即降低单IP或单用户的访问频率，而不影响正常用户，根据你的技术栈,有三种主流方案可选。
立刻启用Nginx的limit_req模块
这是多数站长的第一选择，因为它不需要额外成本，配置后秒级生效，在nginx.conf的http段添加一个限流区域：
http {
limit_req_zone $binary_remote_addr zone=mylimit:10m rate=30r/s;
server {
location /api/ {
limit_req zone=mylimit burst=20 nodelay;
}
}
}这段配置的意思是：每个IP每秒最多30次请求，允许短暂突发（burst=20），超过的直接拒绝。修改后执行nginx -s reload，新规则立即生效，如果你需要更精细的控制，比如针对不同接口设置不同速率,可以定义多个zone。
接入云服务商的Web应用防火墙
如果你使用了简米云、酷番云或华为云，它们的WAF产品都内置CC防护功能，你可以在控制台开启“频率限制”规则，设置每秒请求数上限，并绑定到被攻击的域名或路径。大多数云WAF支持秒级配置，且提供自动学习正常流量基线
，收费方面，基础版套餐通常包含一定请求量，超出后按量计费，价格从几百元到几千元不等，对于国内企业来说，这种方案省去了手动维护的麻烦,尤其适合不熟悉Nginx配置的运维人员。
使用应用层限流中间件
如果你的业务逻辑复杂，比如需要区分用户ID或Token，可以在应用代码中集成限流库，Java的Guava RateLimiter、Go的golang.org/x/time/rate，或者使用Redis的滑动窗口算法。这种方案灵活度最高，但需要修改代码并重启服务，适用于长期防护而非紧急响应，你可以先临时用Nginx限流,后期再通过应用层做精细化控制。
请求限流方案对比：免费与收费的取舍
很多人在选择时纠结用免费方案还是付费方案,下面是几个关键维度的对比。
| 方案 | 部署成本 | 学习成本 | 防护效果 | 适用场景 |
|---|---|---|---|---|
| Nginx限流模块 | 免费，仅需配置 | 低，配置简单 | 基础防护，可拦截大部分简单刷接口 | 小型网站或临时应急 |
| 云WAF | 按量收费，基础版约1000元/月 | 低，控制台操作 | 高级防护，支持智能识别、自定义规则 | 中大型网站，需持续防护 |
| 应用层限流 | 免费，但需开发 | 中，需代码实现 | 精确控制，可结合业务逻辑 | 核心业务接口，需定制化 |
业内专家指出，三种方案并非互斥，而是可以组合使用，Nginx做第一道粗过滤，云WAF抵挡大流量攻击，应用层做最后一道精确拦截，对于预算有限的小团队，先用Nginx快速顶上,后续再评估是否需要升级。
服务器限流配置教程：从入门到实战
这一节手把手教你从零开始配置Nginx限流,并确保应对突发流量时不误伤正常用户。
基础参数设置
limit_req_zone $binary_remote_addr zone=api_limit:10m rate=50r/s;$binary_remote_addr：基于IP做限流，也可以换成$http_x_forwarded_for如果使用了CDN。zone=api_limit:10m：共享内存区域，大小10MB,能存储约16万个IP状态。rate=50r/s：每秒允许50次请求,你可以根据正常业务峰值调整。
合理使用burst和nodelay
burst=20：允许超过速率20个请求的排队，而不是直接拒绝,这可以应对正常的小波动。nodelay：在排队时，多余的请求不等待，直接处理，如果不加nodelay，多余的请求会被延迟处理,可能导致用户等太久。
建议：在紧急情况下使用nodelay，确保响应速度；平时可用延迟模式，让请求平滑处理。 如果你不确定，先用burst=10 nodelay,观察效果。
动态调整限流阈值
重启Nginx需要短暂中断服务，但修改配置后reload几乎无感知，你可以准备一个脚本，根据监控数据自动调整rate值，当CPU使用率超过80%时，自动将rate从100r/s降低到50r/s。许多团队通过Crontab或API网关实现自动化限流。
请求限流最佳实践
- 白名单放行：将搜索引擎爬虫、付费用户等加入白名单,避免被限流误伤。
- 日志与监控：记录被拒绝的请求日志，分析攻击来源和模式,持续优化规则。
- 分层防御：单点限流不够，结合DDoS高防、IP黑名单、验证码等。
- 测试流程：上线前用压测工具（如wrk）模拟刷接口,验证限流效果。
快速开启请求限流的核心是“先拦住，再优化”。 无论你选择Nginx、云WAF还是应用层方案，第一步都是立即设置一个合理的每秒请求上限，哪怕它不够精确，也比被打垮强百倍，之后根据日志和监控，慢慢调整参数,加入白名单和动态规则。
网站被刷接口限流常见问题解答
Q1: 接口被刷时开启限流，会影响正常用户吗？
只要配置合理，影响极小。将阈值设置为你正常峰值的1.5倍，并搭配burst参数，可以应对大部分正常流量波动，如果担心误伤，可以先设置IP白名单，确保关键用户不受限，限流通常只针对频次异常的行为,正常用户每秒一次请求根本不会触发。
Q2: 免费限流方案和收费方案有什么区别？
免费方案如Nginx模块，需要自己维护和调优，但零成本；收费方案如云WAF，提供自动防护、实时报表和专家支持，价格从每月几百元到上万元不等。对于日均请求量低于10万次的网站，免费方案完全够用；超过这个量级,云WAF的智能识别和7x24小时响应能省去大量运维精力。
Q3: 如何快速开启限流而不需要重启服务器？
修改Nginx配置后执行nginx -s reload，这是一个热重载过程，不会中断现有连接。大多数云WAF的规则变更也是实时生效，无需重启，如果你使用网关如Kong,可以通过API接口动态调整限流策略。