用途：限制实体在给定时间窗内的请求次数，防止资源耗尽与暴力破解，适用于登录接口、搜索、导出等昂贵操作。
主要能力：定义实体、执行点、决策点、策略提供者与历史存储等角色；支持按 IP、用户/API Key、会话 ID 或组合识别实体；提供固定窗口、滑动窗口、令牌桶、漏桶等算法；可按端点敏感度、用户类型、操作成本、时段配置策略，例如 /login 每分钟每 IP 5 次、/api/search 每分钟每 API Key 100 次、/api/export 每小时每用户 10 次。
使用方式：请求经执行点拦截，由决策点读取策略与历史后判定允许或拒绝；允许则转发，拒绝返回 429 Too Many Requests。可返回 X-RateLimit-Limit、X-RateLimit-Remaining、X-RateLimit-Reset、Retry-After 等响应头。实施可在应用层、API 网关层或 CDN/WAF 基础设施层，建议多层纵深防御。
限制与注意：需处理 NAT/代理、IPv6、会话轮换等识别问题；分布式攻击下单 IP 限制不足，需监控聚合模式并考虑全局限制；限流设施本身需定义 fail-open 或 fail-closed，避免成为 DoS 向量；应防止绕过，在昂贵操作前限流。资料未提供具体代码、安装命令、收费或平台信息。