Πώς υλοποιείς rate limiting με Redis;

Question

Accepted Answer

**Rate limiting** (περιορισμός του πόσων requests/ενεργειών επιτρέπονται σε ένα χρονικό παράθυρο) είναι μια συνηθισμένη περίπτηση χρήσης Redis — οι γρήγοροι ατομικοί απαριθμητές του Redis και τα TTLs το κάνουν ιδανικό. Υπάρχουν αρκετοί αλγόριθμοι (fixed window, sliding window, token bucket), καθένας με δικές του αντιστάσεις.

## Fixed window (απλούστερη)

```js
// allow N requests per time window using an atomic counter with a TTL
async function rateLimit(userId, limit = 100, windowSec = 60) {
  const key = `rate:${userId}:${Math.floor(Date.now() / 1000 / windowSec)}`;
  const count = await redis.incr(key);     // atomic increment
  if (count === 1) await redis.expire(key, windowSec);  // set TTL on first request
  return count <= limit;                    // allowed if under the limit
}
// → INCR is atomic (correct under concurrency); the key auto-expires each window
```

Η προσέγγιση **fixed window**: ένας ατομικός απαριθμητής ανά (user, time-window) με ένα TTL — αύξηση ανά request, απόρριψη όταν υπερβεί το όριο. Απλή και αποδοτική, αξιοποιώντας ατομικό `INCR` και αυτόματη λήξη.

```text
✗ Limitation: bursts at window boundaries (2x limit possible across two adjacent windows)
```

## Sliding window (πιο ομαλή)

```text
SLIDING WINDOW → tracks requests over a rolling time period (no boundary bursts)
  → often uses a SORTED SET: add each request with a timestamp score,
    remove old entries (ZREMRANGEBYSCORE), count remaining (ZCARD)
  ✓ More accurate/smooth  ✗ More memory and complexity
```

## Token bucket (επιτρέπει ελεγχόμενες εκρήξεις)

```text
TOKEN BUCKET → tokens refill at a steady rate; each request consumes a token
  → allows bursts (up to the bucket size) while limiting the average rate
  → often implemented with a Lua SCRIPT for atomic check-and-consume
```

## Γιατί το Redis είναι ιδανικό για αυτό

```text
✓ ATOMIC counters (INCR) → correct under concurrency, no race conditions
✓ Fast (in-memory) → minimal latency added to each request
✓ TTL → automatic window cleanup (no manual expiry management)
✓ SHARED across servers → distributed rate limiting (all app servers use one Redis)
→ Redis is the standard tool for distributed rate limiting.
```

## Γιατί έχει σημασία

Η υλοποίηση rate limiting με Redis είναι μια συνηθισμένη, πρακτική περίπτωση χρήσης, επομένως η κατανόησή της είναι πολύτιμη γνώση — το rate limiting (προστασία των APIs και των υπηρεσιών από κατάχρηση, διασφάλιση δίκαιης χρήσης, αποτροπή υπερφόρτωσης) είναι μια σχεδόν καθολική ανάγκη, και το Redis είναι το κύριο εργαλείο για αυτό.

Η κατανόηση του **γιατί το Redis είναι ιδανικό** είναι κλειδί: οι **ατομικοί απαριθμητές** του (`INCR`) κάνουν το rate counting σωστό υπό ταυτοχρονισμό (χωρίς race conditions/χαμένες μετρήσεις), η **ταχύτητά** του (in-memory) προσθέτει ελάχιστη καθυστέρηση σε κάθε request, τα **TTLs** χειρίζονται την εκκαθάριση του παραθύρου αυτόματα, και κρυσταλλικά είναι **κοινόχρηστο σε διακομιστές** — ενεργοποιώντας **κατανεμημένο rate limiting** όπου όλοι οι εφαρμογικοί διακομιστές επιβάλλουν ένα συνεπές όριο (απαραίτητο σε ανάπτυξη πολλών διακομιστών, όπου τα ανά-διακομιστή in-memory όρια δεν θα λειτουργούσαν).

Η κατανόηση των **αλγορίθμων** και των αντιστάσεών τους σε σας επιτρέπει να επιλέξετε κατάλληλα: **fixed window** (απλούστερη — ένας ατομικός απαριθμητής ανά χρονικό παράθυρο με ένα TTL, αλλά επιτρέποντας εκρήξεις ορίων), **sliding window** (πιο ομαλή και ακριβέστερη χρησιμοποιώντας ένα sorted set χρονοσήμων requests, με υψηλότερο κόστος μνήμης), και **token bucket** (επιτρέποντας ελεγχόμενες εκρήξεις ενώ περιορίζει το μέσο ρυθμό, συχνά μέσω ενός Lua script για ατομικότητα).

Η γνώση του πώς να υλοποιήσεις αυτά (ιδιαίτερα το απλό, συνηθισμένο fixed-window pattern με `INCR` + `EXPIRE`) είναι πρακτική, εφαρμόσιμη δεξιότητα.

Επειδή το rate limiting είναι μια συνηθισμένη απαίτηση για την προστασία των υπηρεσιών, και επειδή το Redis (με τους ατομικούς απαριθμητές, την ταχύτητα, τα TTLs και την κοινόχρηση σε διακομιστές) είναι το κύριο, ιδανικό εργαλείο για κατανεμημένο rate limiting, η κατανόηση του πώς να το υλοποιήσεις με Redis — οι αλγόριθμοι, οι αντιστάσεις τους και γιατί το Redis ταιριάζει τόσο καλά — είναι πολύτιμη, συχνά εφαρμόσιμη γνώση για την κατασκευή ισχυρών, προστατευμένων υπηρεσιών, μία από τις πιο συνηθισμένες πρακτικές εφαρμογές Redis εκτός από την cache.