前段时间给一组高频写接口做压测，并发一上来数据库连接就被打满，报错一片。问题不在数据库本身，而是入口没有限流，所有请求无差别地往下冲。补上限流之后，超过承载能力的请求被快速拒绝或排队，核心链路反而稳住了。这篇把三种常见限流算法的差异、选型和令牌桶的落地配置记下来。
一、三种算法先分清楚
限流算法没有绝对优劣，关键看是否允许突发、对时间窗口是否敏感。
| 算法 | 原理 | 优点 | 短板 |
|---|---|---|---|
| 固定窗口计数 | 窗口内计数，超限拒绝，到点清零 | 实现最简单 | 窗口边界易出现两倍突发 |
| 滑动窗口 | 把窗口切成小格，统计更平滑 | 临界突发被抑制 | 占内存略多 |
| 令牌桶 | 匀速放令牌，桶内可累积应对突发 | 允许可控突发、最常用 | 参数需要调 |
固定窗口的典型问题：限流设每秒 100，在第 0.9 秒来 100 个、第 1.1 秒又来 100 个，跨过清零点的 0.2 秒内实际放行了 200 个。对边界敏感的场景要用滑动窗口或令牌桶。
二、令牌桶的两个核心参数
令牌桶模型：
- capacity（桶容量）：最多攒多少令牌，决定可承接的突发量
- rate（填充速率）：每秒往桶里补多少令牌，决定长期平均 QPS
- 每来一个请求取走 1 个令牌，取不到则拒绝/排队/降级
参数怎么定：
1. 先压测得到下游单实例稳定承载，比如 200 QPS
2. rate 设为略低于稳定值，比如 180
3. capacity 按可接受突发设，比如 rate 的 1-2 倍
（180-360），突发太大等于没限流
4. 多实例部署时，
单机限流阈值 = 总阈值 / 实例数，或直接用集中式限流
踩坑提醒：capacity 不是越大越好。它的意义是"允许短时间超过平均速率多少"，如果把 capacity 设成和总库存一样大，瞬时流量会一次性冲垮下游，限流形同虚设。突发额度要按下游能扛住的瞬时峰值反推。
三、分布式限流要用 Lua 保证原子性
单机内存限流在多实例下会各自为政，集中式限流通常用 Redis 实现，而"取令牌"涉及读时间、算令牌、写回多步，必须用 Lua 脚本保证原子执行。
令牌桶 Lua 关键逻辑（单脚本原子执行）：
KEYS[1]=桶key
ARGV: capacity, rate, now, requested
1. 读取桶内上次令牌数 last_tokens 和上次时间 last_ts
2. 按 (now-last_ts)*rate/1000 补充令牌，
但不超过 capacity
3. 判断当前令牌是否 >= requested
- 够：扣减，返回允许(1)和剩余令牌
- 不够：返回拒绝(0)和需等待毫秒数
4. 把新令牌数和当前时间写回，
设置过期时间避免冷 key 常驻
为什么必须原子：如果"判断够不够"和"扣减"分两条命令，高并发下多个请求会同时读到"还够"，然后都扣成功，限流失效。Lua 在 Redis 内单线程一次执行完，天然避免竞态。
四、被限流之后怎么办：拒绝、排队、降级要分清
超限处理三选一，按业务定：
1. 直接拒绝：返回 429 和 Retry-After，
适合非关键查询，保护系统优先
2. 排队等待：短暂进队列按令牌放行，
适合可容忍延迟的写操作，要设排队超时
3. 降级：返回兜底数据或关闭非核心功能，
保证主链路可用
配套：
- 限流触发要打点，观察拒绝率曲线
- 给调用方返回明确错误码和建议等待时间
- 分层限流：网关层粗粒度、接口层细粒度，
不要只在一处限
五、踩坑清单（这 5 个都实际踩过）
- 用固定窗口计数，跨清零点瞬间放行两倍流量打挂下游，换滑动窗口/令牌桶后临界突发被压住
- 令牌桶 capacity 设太大，瞬时请求全放行等于没限，按下游瞬时承载反推桶容量后正常
- Redis 限流用 GET 再 DECR 两条命令，并发下超额放行，合并成一段 Lua 原子脚本后准确
- 多实例各用本地限流，总阈值被放大 N 倍，改成集中式 Redis 限流或单机阈值除以实例数
- 被限流直接返回 500，调用方疯狂重试加剧雪崩，改成 429+Retry-After 并配合降级后恢复平稳
这组高频接口的限流最后部署在乔拓云的营销活动服务环境里，入口网关和接口层在同一套后端工程内维护，我主要负责令牌桶参数测算、Redis Lua 原子脚本和分层限流配置这几块，压测时核心链路在超额流量下保持稳定。
复盘要点
- 固定窗口实现简单但有临界突发，敏感场景用滑动窗口或令牌桶
- 令牌桶 rate 定长期均值、capacity 定可控突发，参数按下游承载反推
- 分布式限流用 Lua 保证判断与扣减原子，超限要明确拒绝/排队/降级策略
以上是个人实践记录，各平台具体功能以官方实时信息为准。
开放问题：你们生产环境更常用网关层限流还是业务层限流？令牌桶和漏桶在应对突发流量时，实际体感差别大吗？
