Kur ir kaip sukonfigūruoti greitį ribojantas funkcijas?

Question

Accepted Answer

Greitį ribojantas funkcijos riboja, kiek prašymų klientas gali atlikti per laiką. Ją taikote **keliuose sluoksniuose**, nes kiekvienas mato ką nors kitaip, ir jį atpažįstate **pagal tai, kas identifikuoja piktnaudžiautoją**.

## Kur tai sukonfigūruoti

- **Edge / CDN** — pirma linija, prieš tai, kai srautas pasiekia jus. Pigiausia taikyti (užpuoliko niekada nepasiekia jūsų šaltinio), bet jau nuožmiai, paprastai pagal IP.
- **Reverse proxy** (nginx, Envoy) — saugo šaltinį nuo potvynių, kurie praeina CDN, su detaliu kontroliu virš zonų ir šuolių.
- **Application layer** — pačias protingiausia sluoksnis: žino **vartotoją, API raktą arba žetoną**, todėl gali taikyti kvotą pagal paskyrą ir apsaugoti brangias verslo operacijas, kurias proxy negali matyti.

## Kaip jį atpažinti ir suformuoti

- **Atpažinti pagal** IP (anoniminis), API raktą (partneriai) arba autentifikuotą vartotoją (grožis pagal paskyrą).
- **Token bucket vs leaky bucket** — token bucket leidžia trumpus **šuolius**, sukaupdamas žetonus, po to stabilizuojasi; leaky bucket sulygins į pastovų greitį. Dauguma API nori token bucket, todėl teisėti šuoliai nėra baudžiami.
- **Pasirinkite ribas iš pagrindu + laisvo vietos** — išmatuokite normalų kiekvieno kliento piko lygį, tada nustatykite ribą patogiai virš jos, kad tikri vartotojai jį niekada nepasiektu.
- **Grąžinkite `429 Too Many Requests` su `Retry-After`**, kad klientai gražiai atsitrauktu vietoj nuolatinio smūgio.

## Pavyzdys: nginx limit_req

```nginx
# Define a shared-memory zone keyed by client IP.
# rate=10r/s = the steady refill rate (token bucket).
limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;

server {
    location /api/ {
        # burst=20: allow a short spike of 20 queued requests
        # nodelay: serve the burst immediately instead of spacing it out
        limit_req zone=api burst=20 nodelay;

# Return 429 (not the default 503) so clients see a rate-limit signal
        limit_req_status 429;

proxy_pass http://backend;
    }
}
```

Čia kiekvienas IP papildo 10 prašymų/sekundę, gali šokti iki 20, o viskas viršui gauna `429`.

## Kodėl tai svarbu

Greitį ribojantos funkcijos yra pigiausias, visada veikiantis apsaugos priemone prieš Layer 7 potvynius, kredencialų užpildymą ir nešviesias scrapers. Jų sluoksniavimas (edge dėl tūrio, proxy dėl šaltinio, app dėl verslo logikos) ir teisingas atpažinimas sustabdo piktnaudžiautojus, o tikri vartotojai — ir teisėti šuoliai — praleidžiami nepažeisti. Ribų nustatymas iš tikrų pagrindų — tai tai, kas neleidžia tai tapti jūsų paties išjungimu.