Laravel API路由自定义限流未生效，始终沿用默认60次/分钟配置

首先，你遇到的这个问题在Laravel里挺常见的，咱们一步步排查可能的原因：

1. User模型的限流配置覆盖了中间件参数 #

Laravel的throttle中间件在用户认证通过后（也就是auth:api生效后），会优先使用User模型中定义的限流规则，而不是你在路由中间件里写的10,1。

检查你的User模型，看有没有以下两种情况：

• 定义了rateLimit属性：比如protected $rateLimit = 60;
• 定义了getRateLimitAttribute方法或者rateLimit()方法：

  public function getRateLimitAttribute()
  {
      return 60;
  }
  

如果有以上任意一种，都会覆盖你路由中间件里的限流参数，导致还是用默认的每分钟60次。解决办法就是修改这个值为10，或者直接删除这些自定义配置，让中间件的参数生效。

2. 路由组嵌套导致的优先级问题 #

如果你的这个路由组被另一个带有throttle中间件的父路由组包裹，比如：

Route::group(['middleware' => 'throttle:60,1'], function () {
    Route::group([ 'middleware' => 'auth:api', 'throttle:10,1' ], function () {
        // 你的端点
    });
});

这种情况下，父路由组的限流规则会生效，内层的会被忽略。你需要调整路由结构，确保目标路由组的throttle中间件是最外层的有效配置，或者去掉父级的限流中间件。

3. 中间件注册异常 #

检查app/Http/Kernel.php里的routeMiddleware数组，确认throttle对应的是官方的中间件：

'throttle' => \Illuminate\Routing\Middleware\ThrottleRequests::class,

如果这里被替换成了自定义的中间件，那可能自定义逻辑有问题，导致参数不生效。

替代实现方式 #

如果以上排查都没问题，或者你想更灵活地控制限流，可以试试这些方法：

方法一：指定限流的标识（强制用IP或用户ID） #

在throttle中间件里加上第三个参数，明确指定限流的key类型：

• 强制按IP限流：throttle:10,1,ip
• 强制按用户ID限流：throttle:10,1,user
  比如：

Route::group([ 'middleware' => ['auth:api', 'throttle:10,1,user'] ], function () {
    // endpoints here
});

这样可以确保中间件使用你指定的参数，而不会被其他配置覆盖。

方法二：自定义限流中间件 #

创建一个自定义的中间件，比如ApiThrottle，在里面手动设置限流规则：

<?php

namespace App\Http\Middleware;

use Illuminate\Routing\Middleware\ThrottleRequests;

class ApiThrottle extends ThrottleRequests
{
    protected function resolveRequestSignature($request)
    {
        // 自定义限流的标识，比如用户ID+路由前缀
        return $request->user() ? $request->user()->id : $request->ip();
    }

    protected function calculateRemainingAttempts($key, $maxAttempts, $decayMinutes)
    {
        // 这里可以自定义maxAttempts和decayMinutes
        return parent::calculateRemainingAttempts($key, 10, 1);
    }
}

然后在Kernel.php里注册这个中间件：

'api.throttle' => \App\Http\Middleware\ApiThrottle::class,

最后在路由里使用：

Route::group([ 'middleware' => ['auth:api', 'api.throttle'] ], function () {
    // endpoints here
});

方法三：使用Laravel的RateLimiter门面（Laravel 8+） #

从Laravel 8开始，可以用RateLimiter门面自定义限流规则，更灵活：
首先在App\Providers\RouteServiceProvider的boot方法里定义限流规则：

use Illuminate\Support\Facades\RateLimiter;
use Illuminate\Cache\RateLimiting\Limit;

public function boot()
{
    RateLimiter::for('api', function ($request) {
        return $request->user()
            ? Limit::perMinute(10)->by($request->user()->id)
            : Limit::perMinute(10)->by($request->ip());
    });

    parent::boot();
}

然后在路由里使用这个限流规则：

Route::group([ 'middleware' => ['auth:api', 'throttle:api'] ], function () {
    // endpoints here
});

最后，测试的时候记得看响应头里的X-RateLimit-Limit字段，确认它的值是10，这样就说明限流规则生效了。

内容的提问来源于stack exchange，提问作者TytonDon