ThinkPHP应用Nginx并发限制需四层协同：一、IP级限流；二、路由级细粒度限流；三、全局+单IP双层防护；四、worker/FPM/ulimit底层容量匹配
部署ThinkPHP应用时，你是否遇到过服务响应迟缓、频繁出现504 Gateway Timeout，甚至服务器资源被瞬间耗尽的情况？这背后，恶意爬虫、接口滥用或是异常长连接导致的并发连接数失控，往往是罪魁祸首。针对ThinkPHP的服务特性，一套行之有效的Nginx并发连接限制策略，需要从四个层面协同部署。
一、基于客户端IP的并发连接限制
这个方法的核心目标，是防止单个IP地址发起过多的TCP连接。对于ThinkPHP应用中那些未启用连接复用的AJAX轮询、表单重复提交，或是未授权的API探测场景，这招尤其管用。关键在于使用$binary_remote_addr变量来构建一个轻量级的内存计数区，相比使用$remote_addr，它能有效避免内存浪费。
具体操作分两步走：首先，编辑Nginx的主配置文件/etc/nginx/nginx.conf，在http{}配置块内添加限流区域的定义：
limit_conn_zone $binary_remote_addr zone=tp_ip:10m;
立即学习“PHP免费学习笔记（深入）”；
接着，找到对应ThinkPHP站点的server{}配置块，在location /或处理PHP的location ~ \.php$中启用这条限制：
limit_conn tp_ip 8;
为了提升可观测性，方便后续排查问题，建议再追加两条指令，用于自定义超限时的状态码和日志记录级别：
limit_conn_status 429; limit_conn_log_level warn;
二、基于ThinkPHP路由路径的细粒度连接限制
ThinkPHP框架通常将API统一入口设置为/index.php?s=或使用PATH_INFO模式。如果仅仅限制IP，很容易误伤那些合法开启多个浏览器标签页的用户。因此，更精细的做法是提取路由的关键标识——比如$request_uri的前缀——来实现按模块限流。例如，可以单独对/api/这类路径进行限制，同时放行静态资源和首页。
实现起来也不复杂：在http{}块中，新增一个基于请求URI的限流区：
limit_conn_zone $request_uri zone=tp_api:10m;
然后，在server{}块内定位到ThinkPHP的API入口位置，通常是这样一个配置段：
location ^~ /api/ { limit_conn tp_api 20; }
需要特别注意，确保这个location块被放置在try_files或fastcgi_pass等通用处理规则之前，以免被覆盖而失效。
三、全局+单IP双层防护组合配置
安全防护，最忌单点思维。只限制单个IP，容易被分布式脚本轻松绕过；而只限制全局连接总数，又无法抑制来自某个IP的局部暴力请求。双层防护策略应运而生，它能同时约束个体行为和系统总负载，特别适用于ThinkPHP后台管理模块（比如/admin）这类高敏感路径。
配置时，先在http{}块中定义两个独立的zone：
limit_conn_zone $binary_remote_addr zone=tp_perip:10m; limit_conn_zone $server_name zone=tp_server:10m;
然后，在ThinkPHP站点server{}块内，针对location /admin这样的路径叠加调用两条限制指令：
limit_conn tp_perip 3; limit_conn tp_server 50;
这组配置的含义很清晰：任何一个IP地址，最多只能与此路径维持3个并发连接；同时，整个站点的这个路径下，所有IP的连接总数不能超过50个。
四、适配ThinkPHP运行模式的worker级协同限流
别忘了，ThinkPHP默认以FastCGI方式运行。它的实际并发能力，受到Nginx的worker进程数、PHP-FPM的子进程数以及系统文件描述符上限这三者的共同制约。如果只配置了limit_conn，却忽略了底层容量，很可能导致连接在到达限制前就被底层拒绝，直接返回502错误，而不是我们期望的429状态码。
因此，必须进行三层检查：
首先，检查Nginx的worker配置，在events{}块中确认以下参数设置合理：
worker_processes auto; worker_connections 2048;
其次，进入宝塔面板或手动编辑PHP-FPM的池配置文件（例如www.conf），确保进程管理参数得当：
pm.max_children = 64; pm.start_servers = 16; pm.min_spare_servers = 8; pm.max_spare_servers = 24;
最后，在服务器上执行ulimit -n命令，确认系统级别的文件描述符限制，不低于worker_processes × worker_connections这个计算值。
五、ThinkPHP专用路径排除与例外处理
任何限流策略都要避免“误伤友军”。ThinkPHP框架的public/目录下，通常存放着无需PHP解析的静态资源，比如JS、CSS、图片等。如果将这些静态资源的请求也纳入limit_conn的限制范围，会导致网页加载因为并发连接数被占满而出现卡顿。因此，必须显式地将这些路径排除在外。
操作上，在ThinkPHP站点的server{}配置块中，于所有limit_conn指令之前，添加一个用于匹配静态资源的规则块：
location ~* \.(js|css|png|jpg|jpeg|gif|ico|svg|woff2|ttf|eot)$ { limit_conn off; }
另外，对于ThinkPHP内置的调试接口（例如/debug或/route），可以设置更为宽松的策略，方便开发：
location ^~ /debug/ { limit_conn tp_perip 20; }
这里有个关键细节：务必确保limit_conn off这条关闭限制的指令，写在具体的限制指令之前，因为Nginx会按照location块的匹配顺序来生效规则。
