burst = 1 肯定不行，建议跟 rate 一致，设为 100。

NGINX 的时间戳精度只有 1ms，对于 1ms 之内的请求看起来频率都是无穷大，所以 burst 是必须要有的。这块可以参考令牌桶算法的实现原理来理解。

需要配置 burst，否则在打开的一瞬间，rate 看起来是无穷大，就被拒了。

用 https://github.com/openresty/lua-nginx-module#ngxreqget_post_args。

断电、死机数据就不打算要了？

支付宝去年双 11 公开的也就是 26 万笔成交每秒： http://tech.ifeng.com/a/20171111/44755689_0.shtml。这帮比特币交易所竟然敢吹上百万笔每秒，脸皮也是够厚了。

搞个 ROS，用最简单的 Simple Queues 就行了。

楼上建议端口限速的根本就不能叫做 QoS。QoS 能达到的效果是如果老板的那 10M 没有人用，那么是可以平分给普通员工来用的。搞简单的端口限速如果那 10M 没人用，就等于白白浪费掉了。

@sbw 正解

不可以，这里的突发，必然是你之前没有跑到平均值攒下来的，详见令牌桶算法原理。

简单来说：自签是没什么卵用。

@gy911201 显然是上传的原始的密码，如果在客户端哈希后再上传那哈希存储的意义就完全没有了，攻击者直接传哈希上来服务器无法得知到底客户端知不知道明文的密码。

@farseeraliens Intel 肯定不会这么做的，这一下指令缓存部分的电路复杂度直接 x4，感觉不大改架构很难做到。

@kaneg Linux 的话 4.13.11 后的版本是有 Meltdown 的补丁的。

Spectre 无通用补丁。