Nginx 中基于请求速率的动态访问控制策略如何实现

直接用limit_req模块配合map指令实现动态速率控制，通过变量映射请求头、IP段或User-Agent等条件到不同限速值，再在limit_req_zone中引用，支持按网络类型、业务渠道等差异化限流。

直接用 limit_req 模块配合自定义变量就能实现动态速率控制，核心在于把“速率值”从固定数字变成可变表达式，而不是写死在配置里。

用 $limit_rate 变量动态设定速率

Nginx 本身不支持在 rate= 后直接写变量，但可以通过 map 指令预先计算出不同条件对应的限速值，再映射给 limit_req_zone 使用。

• 先定义一个 map，根据请求头、IP段或 User-Agent 决定速率档位：
  

  map $http_x_app_version $limit_rate {<br>  default "10r/s";<br>  "1.2.0" "20r/s";<br>  "1.1.0" "5r/s";<br>  "~^0." "1r/s";<br>}

• 再在 http 块中创建限速区域，引用该变量：
  limit_req_zone $binary_remote_addr zone=api_limit:10m rate=$limit_rate;
• 注意：变量必须是字符串形式，且格式严格为 "Xr/s" 或 "Xr/m"，不能带空格或单位以外的字符

按客户端网络类型差异化限速

比如对内网用户放宽限制，对公网用户收紧，同时保留突发容量。

• 用 geo 指令标记 IP 归属：
  

  geo $client_network {<br>  default 0;<br>  10.0.0.0/8 1;<br>  172.16.0.0/12 1;<br>  192.168.0.0/16 1;<br>}

• 结合 map 设置速率：
  

  map $client_network $burst_size {<br>  1 "20";<br>  0 "5";<br>}<br>map $client_network $rate_value {<br>  1 "50r/s";<br>  0 "10r/s";<br>}

• 应用到 location 中：
  limit_req zone=api_limit burst=$burst_size nodelay;

基于请求头携带的业务标识做分级限流

例如识别不同 App 渠道（如 X-Channel: ios、X-Channel: android），或灰度环境（X-Env: prod / gray）。

• 提取并映射渠道与速率：
  

  map $http_x_channel $channel_rate {<br>  default "10r/s";<br>  "ios" "30r/s";<br>  "android" "25r/s";<br>  "web" "5r/s";<br>}

• 限速区域使用该变量：
  limit_req_zone $binary_remote_addr zone=by_channel:10m rate=$channel_rate;
• 这样同一 IP 在不同渠道下会走不同限速策略，无需拆分 server 或 location

避免常见陷阱

动态限速容易因配置不当导致策略失效或服务中断。

• map 必须定义在 http 块顶层，不能放在 server 或 location 里
• rate 值必须始终有默认分支，否则未匹配时会变成空字符串，Nginx 启动失败
• burst 和 nodelay 要配合使用：设了 burst 但没加 nodelay，超限请求会被延迟排队；加了 nodelay 则直接拒绝，适合强实时场景
• 测试时用 ab 或 wrk 验证实际效果，别只看配置语法是否通过：
  wrk -t4 -c100 -d10s --latency http://your-api.com/