PHP用Redis限制IP请求频率方法

本文深入剖析了如何在PHP中结合Redis实现高并发下安全可靠的单IP请求频率限制，重点强调原子性操作的必要性——必须通过Lua脚本或封装好的incrEx方法确保INCR与EXPIRE严格串行执行，彻底规避get+if+set引发的竞态条件；同时系统讲解IPv6地址的规范处理（如inet_pton+bin2hex转换）、反向代理场景下的真实IP提取与校验、压测验证要点及线上灰度策略，直击限频功能在真实生产环境中极易被忽视却致命的细节陷阱，帮助开发者构建真正鲁棒、可落地的访问控制防线。

Redis + PHP 实现单 IP 每分钟最多 10 次请求

直接用 INCR 和 EXPIRE 组合就能做，但必须设好过期时间且检查返回值，否则会漏判或误封。

• 先用客户端 IP（如 $_SERVER['REMOTE_ADDR']）拼出唯一 key，比如 "rate:ip:192.168.1.100:202405"
• 用 INCR 增加计数，再用 EXPIRE 设置 60 秒过期 —— 但得在 INCR 返回 1 时才调 EXPIRE，否则每次请求都重设过期，限频就失效
• 如果 INCR 返回值 > 10，立刻拒绝请求（HTTP 429），别等后续逻辑
• 注意：Nginx 反向代理下 $_SERVER['REMOTE_ADDR'] 是代理 IP，得从 $_SERVER['HTTP_X_FORWARDED_FOR'] 取，但要校验可信来源，否则可被伪造

PHP 中用 predis 或 phpredis 处理原子性问题

限频本质是「读-改-写」，必须原子执行，不能靠 PHP 层 if-else 判断后决定是否 incr —— 高并发下必然超限。

• 用 eval 执行 Lua 脚本最稳妥，例如：

  return redis.call("INCR", KEYS[1]) == 1 and redis.call("EXPIRE", KEYS[1], ARGV[1]) or 0

  ，这样 INCR 和 EXPIRE 在 Redis 内部串行执行
• predis 支持 eval，phpredis 也支持，别手写两步操作
• 如果不用 Lua，至少用 phpredis 的 incrEx($key, $ttl)（需 5.3+），它把两个命令封装成原子操作
• 别在 PHP 里用 get + if + set，这是典型竞态条件温床

IPv6 地址处理容易崩，别直接当字符串用

IPv6 地址带冒号、长度不固定，直接拼进 Redis key 可能触发协议解析错误或 key 过长被截断。

• 用 inet_pton() 转成二进制，再 bin2hex() 得到固定长度字符串，比如 "20010db8000000000000000000000001"
• 或者用 inet_ntop(inet_pton($ip)) 标准化格式（压缩零、小写），再替换掉冒号，如 str_replace(':', '', inet_ntop(inet_pton($ip)))
• 别对 IPv6 做 substr($ip, 0, 15) 截断 —— 不同地址长度差很多，可能切到中间，导致同一 IP 被算作多个
• 测试时务必用真实 IPv6 请求（如本地 ::1 或云服务商分配的地址），别只测 IPv4

限频策略上线前必须压测，否则上线就翻车

Redis 连接池没配好、超时设太短、Lua 脚本没加 return，都会让接口响应飙升甚至雪崩。

• 用 ab -n 1000 -c 100 模拟并发，观察 Redis INFO commandstats 里 cmdstat_eval 的耗时和失败率
• 把 Redis timeout 设为 100ms 以内，PHP 端也要设 connect_timeout 和 timeout，避免一个卡住拖垮整个请求
• 如果用连接池（如 predis 的 Predis\Connection\PredisCluster），确认 key 分片逻辑不影响限频 key 的一致性
• 线上第一版建议先记录不拦截（error_log("rate limit hit: $ip")），跑一天看日志再开拒绝逻辑

真正难的不是写几行 incr，而是确保每个 IP 的 key 全局唯一、每次请求的判定原子、所有网络异常都有 fallback。漏掉任意一环，限频就形同虚设。

理论要掌握，实操不能落！以上关于《PHP用Redis限制IP请求频率方法》的详细介绍，大家都掌握了吧！如果想要继续提升自己的能力，那么就来关注golang学习网公众号吧！