Laravel 提供多种 API 速率限制方案：使用内置 throttle 中间件可快速设置频率上限，如每分钟60次；通过 RouteServiceProvider 定义命名策略实现通用或角色差异化限流，支持按用户ID或IP区分；结合 Redis 实现分布式环境下的计数同步；并可在 Handler.php 中自定义 429 响应，返回标准化 JSON 及 Retry-After 提示，提升安全性与用户体验。
如果您在开发 Laravel 应用时发现 API 接口被频繁调用，可能会影响服务器性能或数据安全，因此需要对 API 请求频率进行合理控制。以下是几种在 Laravel 中实现 API 速率限制的优雅方式。
本文运行环境：MacBook Pro，macOS Sonoma
一、使用内置的限流中间件
Laravel 自带了基于 Redis 的速率限制功能，可以通过 throttle 中间件快速为 API 路由设置请求频率上限。该机制利用令牌桶算法控制单位时间内的请求次数。
1、打开路由文件 routes/api.php，为需要限流的路由添加 throttle 中间件。
2、指定允许的请求数量和时间窗口（分钟），例如每分钟最多 60 次请求：
```php
Route::middleware('throttle:60,1')->group(function () {
Route::get('/user', function () {
return response()->json(['name' => 'John Doe']);
});
});
```
3、可自定义名称以区分不同策略，如为登录接口单独设置：
Route::post('/login', ...)->middleware('throttle:5,1,login');
二、定义命名限流策略
通过在 RouteServiceProvider 中定义命名限流策略，可以更清晰地管理不同场景下的速率规则，并支持动态参数配置。
1、在 App/Providers/RouteServiceProvider.php 的 boot 方法中使用 RateLimiter::for() 定义策略。
2、创建名为 'api' 的通用策略，限制每个用户或 IP 每分钟最多 100 次请求：
```php
RateLimiter::for('api', function (Request $request) {
return Limit::perMinute(100)->by($request->user()?->id ?: $request->ip());
});
```
3、将此策略应用到路由组：
Route::middleware(['throttle:api'])->group(base_path('routes/api.php'));
三、按用户角色差异化限流
针对不同权限等级的用户实施不同的访问频率限制，可以提升系统安全性与资源分配合理性。
1、在命名策略中判断用户角色或类型，返回不同的限流阈值：
```php
RateLimiter::for('role_based_api', function (Request $request) {
return $request->user()?->isPremium() ?
Limit::perMinute(200) :
Limit::perMinute(60);
});
```
2、确保用户模型中存在用于判断身份的方法，如 isPremium()。
3、在 API 路由中使用该策略：
Route::middleware('throttle:role_based_api')->get('/data', [...]);
四、结合 Redis 实现分布式限流
当应用部署在多个服务器上时，使用 Redis 存储限流计数器可保证状态一致性，避免单机存储导致的计数偏差。
1、确认 config/database.php 中已正确配置 Redis 连接。
2、在限流策略中无需额外编码，Laravel 默认使用 Redis 驱动存储 throttle 数据（需启用 Redis 作为缓存驱动）。
3、检查 .env 文件中的 CACHE_DRIVER=redis 设置，确保限流信息跨实例共享。
五、自定义响应头部与拒绝行为
在触发限流后，可通过自定义异常处理返回标准化的 JSON 响应，并包含 Retry-After 等有用信息。
1、打开 App/Exceptions/Handler.php，在 render 方法中捕获 TooManyRequestsException。
2、拦截异常并返回包含剩余时间和重试建议的响应：
```php
use Illuminate\Http\Exceptions\TooManyRequestsException;
if ($exception instanceof TooManyRequestsException) {
return response()->json([
'message' => '请求过于频繁，请稍后再试',
'retry_after' => $exception->headers['Retry-After'] ?? null,
], 429);
}
```
3、前端可根据返回字段提示用户等待时间，提升体验。
