问题不是“限流”，而是“谁被限”

多租户系统里，单一全局令牌桶会让大租户挤压小租户，最终演变成“有流量的客户拿走全部容量”。

分层限流模型

  1. 全局桶：保护系统总容量。
  2. 租户桶：保证最小公平份额。
  3. 接口桶：关键路径优先级保护。

动态配额

  • 基础配额按套餐或 SLA 分层。
  • 空闲配额可借用，但需可回收。
  • 通过窗口统计识别恶意突刺流量。

小结

限流策略是否成功，不看是否拦截，而看是否在拥塞时仍然维持“可预期的租户体验”。