速率限制
速率限制 — 限制每客户端请求数防止滥用。
安全中等
技术栈组成
StrategyToken Bucket / Fixed Window
为什么
防止 DoS、暴力破解、API 滥用，公平资源分配。Verizon DBIR 2024：68% 的泄露涉及人为错误。
Snyk 和 Dependabot 扫描 50 万以上 npm 包的 CVE，OWASP Top 10 变化不大 — 注入和失效认证仍居 #1 和 #2。
何时使用
用于公共 API。避免内部服务。
如何做
1. 选择算法（令牌桶/滑动窗口）
2. 按路由设限
3. 分布式用 Redis
4. 返回 429 配 Retry-After
示例
import rateLimit from 'express-rate-limit';
app.use('/api', rateLimit({ windowMs: 60000, max: 100 }));
常见问题
- ⚠多实例内存存储 — 用 Redis store
- ⚠合法用户被阻 — 调优限制
- ⚠环境间配置漂移 — 使用基础设施即代码（Terraform/Pulumi）保持 dev/staging/prod 一致
最佳实践
- ✓用 X-RateLimit 头
- ✓认证端点用更严限制
- ✓设置健康检查和优雅关闭 — 处理 SIGTERM 以在退出前排空进行中的请求
常见问题解答
什么是速率限制？适合做什么项目？
速率限制 — 限制每客户端请求数防止滥用。 它通过分层组合提供端到端类型安全与开箱即用的部署体验，适合从 MVP 到生产 SaaS 的快速迭代。
如何用速率限制在 10 分钟内跑通一个 demo？
两步起步：① 选择算法（令牌桶/滑动窗口）；② 按路由设限。先跑通本地 dev server，再接一个真实数据源验证端到端链路。
速率限制 最常见的坑是什么？怎么避免？
最高频的坑是：多实例内存存储 — 用 Redis store。避免方法：在 PR 模板里加入对应 checklist，CI 中跑类型检查 + lint + 单测，三重把关再合并。
速率限制 的最佳实践有哪些？
速率限制 的最佳实践包括：用 X-RateLimit 头；认证端点用更严限制；设置健康检查和优雅关闭 — 处理 SIGTERM 以在退出前排空进行中的请求。其中首条「用 X-RateLimit 头」应在项目初始化时就落地，避免后期返工。
什么情况下不该选速率限制？
三种情况另选他栈：① 团队对该栈核心框架零经验且工期紧张（学习曲线风险）；② 项目是纯内容/营销站（选 Astro 更轻）；③ 需要极高吞吐（>1 万 RPS）或强一致微服务（选 Go/Rust）。速率限制 的强项是中高复杂度全栈与 API，别在简单静态页上过度工程。