在开发 RESTful API 时，为了避免滥用请求和超出预算，通常需要对请求进行限制和速率限制。本文将详细介绍 RESTful API 中的请求限制和速率限制，并提供相应的代码示例。
请求限制
请求限制是通过一些规则和策略来限制用户请求的。这些规则和策略可以是基于 API 总体限制，也可以是基于用户的使用限制。
API 总体限制
对于 API 总体限制，通常需要对以下属性进行限制：
- 请求的大小和格式，即限制请求体的大小和类型。
- 请求参数，即限制某些请求参数，如语言类型或操作系统。
- 请求次数，即限制在给定时间内的请求数量。
- 访问 IP，即限制特定的 IP 地址或 IP 地址范围的访问。
限制请求大小和格式
限制请求大小和格式是非常重要的，因为如果请求太大或格式错误，可能会导致服务器崩溃或数据损坏。限制请求大小可以通过服务器配置或使用中间件来实现，例如，Node.js 中的 body-parser：
const bodyParser = require('body-parser')
app.use(bodyParser.json({ limit: '1mb' }))其中，limit 选项指定请求体大小的限制。
限制请求参数
限制请求参数是通常是为了确保 API 的正确使用，并防止恶意攻击。例如，可以限制access_token 参数是否匹配，以及语言、时区、操作系统和应用程序版本等参数是否正确。这些限制通常是根据请求头或 URL 参数进行的。
app.use((req, res, next) => {
if (!req.headers['user-agent']) {
res.status(400).send('User agent header missing')
return
}
next()
})上述代码会检查是否存在请求头user-agent，如果未提供，则会返回一个400 Bad Request错误。
限制请求次数
限制请求次数是一种保护服务器资源的方式，防止滥用并确保其他用户可以正常使用 API。可以使用令牌桶（token-bucket）算法，设置固定的请求数量，并在一段时间内自动重置。
-- -------------------- ---- -------
----- ----------- - ----- ---- ----- -- -
----- ------- - --- --------------- -- -- -------
-- -------------------------- -
------------------------- ---- ----------
------
-
------
-
--------------------上述代码使用了一个名为TokenBucket的库来实现令牌桶算法。在这里，我们限制每秒只能执行10个请求。
限制访问 IP
限制特定 IP 地址或 IP 地址范围的访问通常用于限制来自特定地区或特定用户的访问。这可以通过在服务器上设置 IP 黑名单或白名单来实现：
-- -------------------- ---- -------
----- --------- - -------------
----- --------- - --
----- -------- - ----- ---- ----- -- -
-- --------- -
------------------------ ------- --- -------
------
-
-- ---------------------------- -
------
------
-
-- ----------------------------- -
----------------------
-
---------------------------- --------
-上述代码将只允许来自127.0.0.1的请求，其他请求被拒绝。
用户使用限制
对于特定用户的使用限制，可以设置以下限制：
- 登录信息，例如 OAuth 令牌。
- 请求次数，即给定时间内的请求次数限制。
- 账户余额，即限制账户运营的经济成本。
- 请求类型，即限制具有特定类型的请求。
速率限制
速率限制是保护 API 的另一种方式，以防止滥用请求。速率限制可以基于时间、请求数量或特定的用户。
基于时间的速率限制
基于时间的速率限制是一种限制每个特定时间段内的请求次数的方法。例如，可以设置每秒钟只允许10个请求。
-- -------------------- ---- ------- ----- --------- - ----------------------------- ----- ------- - ----------- --------- -- - ----- -- --- ---- --- -------- ---- ---- --------- -- ----------------
上述代码使用了express-rate-limit库，它将允许在60秒内的最多10个请求。如果超过限制，则会返回一个带有429 Too Many Requests错误代码的错误消息。
基于请求数量的速率限制
基于请求数量的速率限制是一种增量限制方法。例如，允许每秒钟的请求次数比上一秒少5个。
-- -------------------- ---- ------- ----- -------- - ---------------------------- ----- ------------ - ---------- --------- ----- -- -- ----------- -- -------- ---- ----------- ---- -- ---------------------
上述代码使用了express-slow-down库，它将允许每秒钟的请求次数比上一秒钟少5个，并设置了最大延迟时间为1秒，并且在每个延迟时间将增加250毫秒，直到达到最大延迟时间。
基于特定用户的速率限制
基于特定用户的速率限制根据用户的请求频率来执行速率限制。例如，可以使用一个包含每个用户访问频率计数器的哈希表来确定特定用户的速率限制。
我们可以使用 Redis 来存储计数器：
-- -------------------- ---- -------
----- ----- - ----------------
----- ------ - --------------------
----- ----------- - ----- ---- ----- -- -
----- ------ - ----------------
------------------- ----- ------ -- -
-- ----- ----- ---
--------------------- --- ----- -- -
-- ----- ----- ---
-- -- ---
-- ------ - --- -
------------------------- ---- ----------
------
-
------
--
-
--------------------上述代码使用 Redis 数据库来存储每个用户的计数器，并检查用户的请求频率是否超过每10秒钟的10个请求限制。
结论
本文详细介绍了 RESTful API 中的请求限制和速率限制。开发人员应该在设计或实现 API 时考虑这些限制，并根据业务需求选择适当的策略来保护 API。实际开发中，我们可以使用一些开源库等工具来轻松实现这些限制，例如 RateLimit、quota 和 express-rate-limit 等。
参考资料：
- 《Use rate-limiting to protect your APIs from abuse》
- 《Restful API Request Limitations and Rate Limiting》
- 《Preventing Brute Force Attacks with Rate Limiting》
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/66f220f2a44b36ee5763d55d