在php中实现api速率限制有三种主要方法。第一，使用redis做计数器，通过incr命令递增访问次数并配合expire设置过期时间，以ip为key记录访问频率，适合中等规模场景；第二，基于令牌桶算法的限流策略，系统按固定速率生成令牌，请求需消耗令牌，适合应对突发流量和大型系统；第三，结合中间件或框架功能，如laravel提供throttle中间件实现基于ip或用户身份的限流，并支持多种缓存驱动。此外还需注意获取真实ip、多节点共享状态以及测试时清理缓存等细节问题。
在开发API服务时，控制用户请求频率是非常关键的一环。PHP作为后端常用的语言之一，可以通过多种方式实现速率限制（Rate Limiting），防止滥用、保护服务器资源。核心思路是记录用户的访问次数，并在一定时间窗口内进行限制。
使用redis做计数器
redis因为其高性能和原子操作特性，非常适合用来做速率限制的计数存储。一个常见的做法是使用INCR命令来递增访问次数，并配合EXPIRE设置过期时间。
比如，以用户的IP地址作为key：
立即学习“PHP免费学习笔记（深入）”；
$ip = $_SERVER['REMOTE_ADDR']; $key = "rate_limit:{$ip}"; $redis = new Redis(); $redis->connect('127.0.0.1', 6379); $count = $redis->get($key); if ($count === false) { $redis->setex($key, 60, 1); // 第一次访问，设置有效期为60秒 } else if ($count >= 100) { // 每分钟最多100次请求 http_response_code(429); echo 'Too Many Requests'; exit; } else { $redis->incr($key); }
这种方式简单有效，适合中等规模的api调用场景。
基于令牌桶算法的限流策略
如果你需要更灵活的控制方式，可以考虑使用“令牌桶”算法。它的核心思想是：系统按固定速率往桶里添加令牌，每次请求需要消耗一个令牌，如果桶空了就拒绝请求。
这种策略的优势在于能应对突发流量，在短时间内允许超过平均速率的请求。
实现上你可以使用第三方库，比如 joemagee/rate-limiter，或者自己封装一个简单的类：
- 初始化时指定每秒生成多少个令牌
- 每次请求检查是否有可用令牌
- 如果没有则拒绝或等待
这种方式更适合大型系统或需要精细化控制的场景。
结合中间件或框架自带功能
很多现代PHP框架如laravel已经内置了速率限制的功能。例如Laravel提供了非常方便的中间件来实现基于IP或用户身份的限流：
Route::middleware('throttle:60,1')->group(function () { Route::get('/api/data', 'DataController@index'); });
上面的例子表示每分钟最多允许60次请求。你也可以结合用户认证信息来做更细粒度的控制：
'throttle:api,100' // 表示使用名为"api"的限流策略
Laravel还支持将限流数据存在Redis或其他缓存驱动中，非常灵活。
注意几个容易忽略的点
- 跨代理获取真实IP：如果你的服务前面有nginx或CDN，记得从X-forwarded-For或CF-Connecting-IP中获取客户端的真实IP。
- 多节点部署需共享状态：多个服务器实例下，不能只用本地内存保存计数，必须使用像Redis这样的共享存储。
- 测试时注意清理缓存：调试过程中频繁修改限流逻辑时，记得清掉Redis中的旧数据，否则容易误判。
基本上就这些。实现API请求频率控制并不复杂，但要根据实际业务需求选择合适的策略和工具。
