做网站运维的朋友都知道，搜索引擎蜘蛛的抓取其实是个挺微妙的事。封得太死，收录跟着遭殃；放得太开，服务器资源又扛不住。先说几个核心判断：直接 return 403 那套玩法，放到现在确实太粗糙了。既容易误伤合法的数据采集任务，也容易让搜索引擎觉得你的站点不太友好。真正值得研究的方案，是用 Nginx 自带的 limit_req 模块对指定 User-Agent 做精细化频率限制，该收录的收录，该卡的卡住。
用 Nginx limit_req 针对特定蜘蛛限速，而不是一刀切封禁
怎么实现？核心逻辑是不要直接跟 User-Agent 字符串硬碰硬。很多人习惯在 location 块里写 if ($http_user_agent ~* Googlebot) { limit_req ... }，这其实是个很隐蔽的坑——limit_req 指令压根不支持出现在 if 块里，Nginx 会静默忽略它，配置看起来没问题，实际上根本不起作用。
正确的做法分三步走：
- 在
server块的最顶部（所有location之外）定义一个map映射，用来提前识别不同类型的爬虫。比如：map $http_user_agent $is_googlebot { ~*Googlebot 1; ~*Baiduspider 1; ~*Bytespider 1; default 0; } - 紧接着定义限速区域。虽然按规范放在
http块最合理，但宝塔面板不开放全局编辑，放在server块开头也行：limit_req_zone $is_googlebot zone=spider:10m rate=2r/s;
- 在需要管控的
location /或/api/等敏感路径里调用：limit_req zone=spider burst=5 nodelay;
这一步的核心思路是：用 map 提前将 UA 分类转化为一个数值变量，然后在具体的 location 里不加判断直接使用。这样既绕开了 if 块的限制，也让整个限速逻辑清晰、可扩展。
为什么 burst=5 和 nodelay 组合比单纯 rate=2r/s 更实用
如果只是简单设置一个固定的速率限制，比如 2r/s，结果往往是爬虫刚发起请求就被拒之门外，然后触发更频繁的重试，反而造成连接堆积和更多不必要的开销。这就像高速堵车，你越不让走，大家越拼命挤。
burst=5 和 nodelay 组合的价值就在于此：它允许在短时间内有 5 个请求透支通过，而且不排队等待。这样一来，当 Googlebot 突然需要快速抓取首页和所有相关的资源链接时，它能够顺畅地一次性处理完，不会因为被限速而触发大量 503 响应。实践中看，去掉 nodelay 后，日志里 503 的数量会明显上升；加上之后，客户端主动中断的连接（499）数量下降了约 70%——说明爬虫确实适应了新节奏。
burst=5：相当于一个最多容纳 5 个请求的缓冲池，允许临时超额一次nodelay：让缓冲池里的请求立刻通过，不排队等待，防止超时- 如果遇到证据确凿的恶意工具（比如
dataforseo），也可以单独建一个 zone，rate 直接设成 0.1r/s——这个频率几乎等同于封禁，但依然保留了合法的访问可能性
避免在 location 中重复写 if + return 导致限速失效
前面提到过，在 location 里用 if 配合 limit_req 是一条死胡同。这条指令放在 if 块中会被完全忽略，配置看似生效，实际效果为零。所以正确路径非常明确：先用 map 提前标记 UA，再到 location 中无条件调用 limit_req。
- 错误写法示范：
if ($http_user_agent ~* Googlebot) { limit_req zone=spider; } - 正确写法：依赖
$is_googlebot变量，直接写limit_req zone=spider; - 验证生效的方法：可以在访问日志中查看
upstream_cache_status字段，看是否从MISS持续变为HIT；或者用curl -I -A "Googlebot/2.1" https://yoursite.com/多次触发，观察响应头中是否出现X-RateLimit-Limit类的自定义字段（需要提前配置日志格式）
结合宝塔防火墙做 UA 分层处理，别全压给 Nginx
宝塔免费防火墙自带的 User-Agent 过滤规则，更适合处理那些一看就不像正经访客的用户袋里——比如 semrushbot、mj12bot、以及 SQL 注入扫描器这类明显有恶意的。对它们直接 return 403 没有任何问题。主流搜索引擎的蜘蛛则应该交给 Nginx 的限速模块，因为防火墙本身不擅长做精细速率控制，而且规则过多会影响整体 WAF 的性能。
一个常见的疏漏是：在防火墙里顺手把 Googlebot 和 Baiduspider 也加进禁止列表，导致 Nginx 的限速配置压根没机会执行——请求还没到 server 块就被挡在了外面。
- 防火墙只留高危 UA：复制粘贴规则时，记得删掉
Googlebot|Baiduspider这些关键词 - Nginx 配置专注限速：在
map里保留它们，用limit_req做精确管理 - 注意防火墙规则的顺序：恶意 UA 的规则必须放在“允许搜索引擎”类规则之上，才能优先匹配
最后提一个容易忽视的细节：map 变量的作用域和 limit_req_zone 的内存规划。配置中 zone=spider:10m 里的 10m 并不是随便填的。1MB 大约可以存储 1600 个 key，如果同时限速 10 类蜘蛛，至少需要预留 5MB。否则当请求量过高时，Nginx 会静默丢弃超出限制的请求，而日志里不会有任何“limiting requests, excess … request rate exceeded”的记录，排查起来会非常头疼。