用途：为 API 实现限流，防止请求过量，支持按端点、用户、API Key 维度控制。
主要能力：提供滑动窗口、令牌桶、固定窗口计数等算法；使用 Redis 6+ 保存分布式限流状态，适用于多实例部署；支持分级配额（如 Free 100 请求/分钟、Pro 1000、Enterprise 10000）及按端点覆盖；令牌桶可配置突发额度（如持续速率的 2 倍、持续 10 秒）；返回标准响应头 X-RateLimit-Limit、X-RateLimit-Remaining、X-RateLimit-Reset 和 RateLimit-Policy；超限返回 429 Too Many Requests 与 Retry-After 头及 JSON 说明；支持内部服务间调用通过共享密钥或 mTLS 绕过限流。
使用方式：先分析端点流量模式，再按端点选择算法；实现中间件提取客户端标识（请求头 API Key、JWT 用户 ID 或 IP）并检查限额；配置分级与端点覆盖；添加突发额度；设置响应头；编写阈值、剩余计数与窗口重置的测试。输出包括中间件、配置、Redis 存储、响应头注入、测试与面向消费者的文档。
适用场景：保护 API 免受过量请求，如登录端点防暴力破解、SaaS 分级配额、按端点差异化限流。
限制与注意：需要 Redis 6+ 及限流库（如 rate-limiter-flexible、slowapi、Bucket4j）；需监控命中率与拒绝指标；Redis 故障时需按安全策略选择放行或拒绝；多实例需用 Redis 服务器时间避免时钟偏差；读-检查-递增需用 MULTI/EXEC 或 Lua 保证原子性；绕过机制需按请求校验凭证并限制来源。具体实现细节与完整代码示例暂未提供。