宝塔面板限流依赖Nginx的limit_req模块，需手动配置limit_req_zone(置于http块)和limit_req(置于server或location块)，支持按IP或接口精准限流，并须自定义503错误页及校验重载。宝塔面板里限流用的是 Nginx 的 limit_req 模块宝塔本身不提供图形化限流开关，所有限流逻辑都靠手动编辑 Nginx 配置，底层依赖 limit_req_zone 和 limit_req 这两个指令。

　　如果你在面板里找"防刷""限速"按钮，大概率会空手而归------那只是访问控制或防火墙的简易规则，和真正按 IP 或 key 限并发请求不是一回事。实操建议：先确认你的 Nginx 编译时启用了 --with-http_limit_req_module(宝塔默认安装已包含，但自定义编译的可能没开)限流配置必须写在 http 块(全局生效)或 server 块(单站点)，不能只丢在"网站-配置文件"的 location 里就完事别把 limit_req_zone 放进 server 块------Nginx 启动会报错：limit_req_zone directive is not allowed here怎么写一个按 IP 限流的配置(每秒最多 5 个请求)这是最常用也最容易出错的场景：想拦住扫描器或脚本刷首页，但又不想误伤正常用户。

　　关键在于 zone 定义位置、key 的选择，以及 burst 和 nodelay 的配合。实操建议：在 Nginx 主配置(/www/server/nginx/conf/nginx.conf)的 http 块开头添加：limit_req_zone binaryremoteaddrzone=perip:10mrate=5r/s;在对应网站的server块里加：limitreqzone=peripburst=10nodelay;burst=10表示允许突发10个请求排队，超过才直接503;nodelay不延迟执行，适合防爆刷(否则排队请求会拖慢响应)别用binaryremoteaddrzone=perip:10mrate=5r/s;在对应网站的server块里加：limitreqzone=peripburst=10nodelay;burst=10表示允许突发10个请求排队，超过才直接503;nodelay不延迟执行，适合防爆刷(否则排队请求会拖慢响应)别用remote_addr 当 key------IPv4 映射到 IPv6 时会失效;$binary_remote_addr 更紧凑且兼容性好限制特定接口(比如 /api/login)比全站限流更稳妥全站限流容易卡住静态资源或前端轮询，反而让页面白屏。真实攻击往往集中在登录、短信发送、搜索等接口，针对性限流效果更好，也更容易调参。