? Laravel RESTful API 设计：API限流策略与请求频率控制机制

大家好！欢迎来到今天的讲座，主题是 Laravel RESTful API 的限流策略与请求频率控制机制 ?。今天我们将一起探讨如何优雅地保护你的 API 不被滥用，同时保证用户体验不受影响。听起来很复杂？别担心，我会用轻松幽默的语言和实际代码示例带你一步步搞定它！

---

? 为什么需要限流？

想象一下，你的 API 是一家餐厅，而用户是顾客。如果突然来了 1000 个顾客同时点餐，厨房可能会炸锅（服务器崩溃）。为了避免这种情况，我们需要对每个顾客的点餐速度进行限制，确保他们不会“饿死”其他顾客。

在技术上，这种限制被称为 Rate Limiting（速率限制），它可以帮助我们：

• 防止恶意攻击（如 DDoS）。
• 确保公平性，避免某些用户占用过多资源。
• 提高系统的稳定性和性能。

---

? Laravel 的限流工具箱

Laravel 内置了强大的中间件来实现限流功能。默认情况下，throttle 中间件已经为你准备好了一切。让我们看看它是怎么工作的！

? 配置 throttle 中间件

打开 app/Http/Kernel.php 文件，你会看到类似以下的代码：

protected $routeMiddleware = [
    // 其他中间件...
    'throttle' => IlluminateRoutingMiddlewareThrottleRequests::class,
];

这个中间件允许你为路由设置访问频率限制。例如，我们可以限制每分钟最多访问 60 次：

Route::middleware('throttle:60,1')->group(function () {
    Route::get('/api/data', [DataController::class, 'index']);
});

这里的 throttle:60,1 表示：

• 每分钟最多允许 60 次请求。
• 第二个参数 1 表示基于 IP 地址进行限制（也可以使用其他标识符，稍后会讲到）。

---

? 自定义限流逻辑

有时候，默认的 throttle 中间件可能无法满足需求。比如，你想根据用户的订阅计划设置不同的限流规则怎么办？这时候就需要自定义限流逻辑了！

?️ 创建自定义中间件

首先，生成一个新的中间件：

php artisan make:middleware CustomThrottle

然后，在 CustomThrottle 中实现你的逻辑。以下是一个简单的例子：

namespace AppHttpMiddleware;

use Closure;
use IlluminateSupportFacadesCache;

class CustomThrottle
{
    public function handle($request, Closure $next, $maxAttempts, $decayMinutes)
    {
        $key = $this->resolveRequestSignature($request);

        if (Cache::has($key)) {
            $attempts = Cache::increment($key);
        } else {
            Cache::put($key, 1, now()->addMinutes($decayMinutes));
            $attempts = 1;
        }

        if ($attempts > $maxAttempts) {
            return response()->json([
                'message' => 'Too Many Attempts.',
                'retry_after' => Cache::get($key) - $maxAttempts
            ], 429);
        }

        return $next($request);
    }

    protected function resolveRequestSignature($request)
    {
        return sha1($request->ip());
    }
}

这段代码做了什么？

1. 使用 Cache 来存储每个 IP 的请求次数。
2. 如果超过限制，则返回 HTTP 状态码 429 Too Many Requests。
3. 提供 retry_after 字段，告诉用户多久后可以重试。

---

? 动态限流：基于用户角色或订阅计划

假设你有一个 SaaS 平台，免费用户每分钟只能请求 10 次，而付费用户可以请求 100 次。这时可以通过动态调整限流规则来实现。

示例代码

Route::middleware('auth:api')->group(function () {
    Route::get('/api/data', function () {
        return ['data' => 'Here is your data!'];
    })->middleware(function ($request, $next) {
        $user = auth()->user();

        if ($user->isPaid()) {
            $maxAttempts = 100; // 付费用户限流
        } else {
            $maxAttempts = 10; // 免费用户限流
        }

        $decayMinutes = 1;

        $key = "throttle:user:{$user->id}";

        if (Cache::has($key)) {
            $attempts = Cache::increment($key);
        } else {
            Cache::put($key, 1, now()->addMinutes($decayMinutes));
            $attempts = 1;
        }

        if ($attempts > $maxAttempts) {
            return response()->json([
                'message' => 'Too Many Attempts.',
                'retry_after' => Cache::get($key) - $maxAttempts
            ], 429);
        }

        return $next($request);
    });
});

---

? 常见问题 & 解决方案

Q1: 如何处理分布式系统中的限流？

A1: 在分布式系统中，单机缓存（如 Cache）可能不够用。此时可以引入 Redis 或 Memcached，它们支持跨多台服务器共享数据。

Cache::store('redis')->put($key, 1, now()->addMinutes($decayMinutes));

Q2: 如何测试限流是否生效？

A2: 使用 Postman 或 cURL 发送大量请求，观察是否返回 429 Too Many Requests。

for i in {1..70}; do curl -X GET http://your-api.com/api/data; done

---

? 总结

通过今天的讲座，我们学习了如何在 Laravel 中实现 API 限流策略：

• 使用内置的 throttle 中间件快速配置限流规则。
• 创建自定义中间件以满足复杂需求。
• 动态调整限流规则以适应不同用户角色。

记住，限流不仅是为了保护你的 API，更是为了给用户提供更好的体验。就像餐厅老板一样，你需要平衡效率和服务质量 ?。

如果你有任何问题或想法，请随时提问！下期讲座再见啦！?