PHP中的速率限制：如何保护API免受过载和机器人攻击

PHP中的速率限制与节流：掌控请求流量

想象一下：您为自己的服务发布了一个很棒的API。一切运行完美，直到某个“失控”的客户端开始每秒向您的服务器发送数千个请求。或者更糟的是，一个爬虫机器人决定下载您的整个数据库。熟悉吗？如果不熟悉——那算您幸运。但最好还是做好准备。正是在这里，速率限制和节流登场了——这两位骑士将保护您的后端免受过载。

在本文中，我们将探讨如何在PHP中实现请求限制，查看真实的代码示例，并了解哪种方法适合您的项目。剧透：您不必自己造轮子，但了解基本算法是有益的。

速率限制 vs 节流：有什么区别？

这两个术语经常被混用，但它们之间存在细微差别。

\n
• 速率限制——这是一种硬性限制。您规定：“每分钟最多100个请求”。一旦达到限制——客户端会收到HTTP 429 Too Many Requests，然后去喝茶。
\n
• 节流——这是一种更温和的控制。不是直接阻止，而是减慢超出限制的请求处理速度，将它们放入队列或降低优先级。
\n

在实践中，PHP中的节流通常通过延迟（sleep）或队列来实现，而速率限制则通过计算单位时间内的请求数来实现。对于大多数API网关来说，两种方法的组合是最优的。

为什么这对您的项目至关重要？

实施PHP请求限制的原因至少有三个：

\n
• 防御DDoS和机器人——即使是一个简单的脚本，如果不控制调用频率，也可能搞垮服务器。
\n
• 公平分配资源——一个“贪婪”的客户端不应剥夺其他用户的服务。
\n
• 稳定性和可预测性——您知道预期的峰值负载，并可以正确配置基础设施。
\n

速率限制算法：选择策略

在编写代码之前，让我们先了解三种流行的算法。每种都有其优缺点。

1. 固定窗口

最简单的方法。将时间分成若干段（例如，按分钟）。记录当前窗口内到达的请求数。达到限制——阻塞直到下一个窗口。

缺点：在窗口边界处可能出现突发流量——客户端可以在最后一分钟发送100个请求，然后在下一分钟开始时再发送100个，这相当于2秒内发送200个请求。

2. 滑动窗口

更精确的算法。不是使用固定时间段，而是查看最近N秒内的请求。请求会“老化”并从窗口中移除。这消除了边界处的突发流量。

3. 令牌桶

一种来自网络领域的优雅算法。“桶”里装有令牌。每个请求消耗一个令牌。令牌以指定速率补充。如果桶空了——请求被拒绝。非常适合PHP节流，因为它允许少量流量突发。

实践实现：从简单到复杂

让我们进入代码部分。从基于文件的基本示例开始，然后看看工业级解决方案。

基于文件的基本速率限制器（用于学习）

此示例使用文件来存储计数器。不适用于生产环境，但很好地展示了原理。

<?php\nclass SimpleRateLimiter {\n    private string $storageDir;\n    private int $maxRequests;\n    private int $windowSeconds;\n\n    public function __construct(string $storageDir, int $maxRequests = 100, int $windowSeconds = 60) {\n        $this->storageDir = rtrim($storageDir, '/') . '/';\n        $this->maxRequests = $maxRequests;\n        $this->windowSeconds =