Node.js 中的 API 速率限制-js教程-PHP中文网

API Rate Limiting in Node.js

Les API constituent l'épine dorsale de la communication Web moderne, et il est crucial de gérer la fréquence à laquelle les clients y accèdent. La mise en œuvre d'une limitation de débit garantit que votre serveur reste réactif et sécurisé en contrôlant le flux de requêtes vers votre API.

Ce guide se concentre sur les stratégies clés pour mettre en œuvre la limitation du débit des API dans Node.js, une plate-forme largement utilisée pour créer des services Web évolutifs.

Qu'est-ce que la limitation de débit API ?

La limitation du débit de l'API restreint le nombre de requêtes qu'un utilisateur ou un client peut adresser à une API dans un délai donné. Il s'agit d'une protection contre la surutilisation et les abus, conçue pour garantir un accès équitable aux ressources et maintenir la santé du serveur.

Pourquoi la limitation du débit de l'API est-elle importante ?

Protection DDoS : limite l'impact des attaques par déni de service distribué (DDoS) en réduisant le nombre de requêtes provenant d'une source unique.
Performances améliorées du serveur : évite la surcharge du serveur en répartissant équitablement les ressources entre les utilisateurs.
Meilleure expérience utilisateur : garantit que tous les utilisateurs obtiennent des réponses rapides en empêchant toute utilisation abusive de l'API.

Meilleures pratiques pour la limitation du débit des API dans Node.js

1. Implémenter un middleware

L'utilisation d'un middleware pour gérer la limitation de débit est à la fois efficace et efficiente. Le package express-rate-limit est un outil populaire à cet effet dans Node.js, en particulier lorsque vous travaillez avec le framework Express. Vous pouvez installer le package en tapant npm i express-rate-limit dans votre console.

const rateLimit = require('express-rate-limit');

const limiter = rateLimit({
  windowMs: 15 * 60 * 1000, // 15 minutes
  max: 100, // Limit each IP to 100 requests per windowMs
  message: 'Too many requests from this IP, please try again after 15 minutes',
});

app.use('/api/', limiter);

登录后复制

Dans cet exemple :

windowMs définit une fenêtre de 15 minutes.
max limite chaque IP à 100 requêtes dans cette fenêtre.
Le message fournit des commentaires lorsque les limites sont dépassées.

L'utilisation d'un middleware comme celui-ci garantit que les demandes sont filtrées dès le début du processus, économisant ainsi les ressources du serveur.

2. Utilisez Redis pour les systèmes distribués

Pour les API exécutées sur plusieurs serveurs, la limitation du débit doit être cohérente sur l'ensemble du système. Redis est souvent la solution incontournable pour le stockage partagé dans ces cas-là. Combinez express-rate-limit avec rate-limit-redis pour une mise en œuvre fluide.

Vous devrez installer les packages suivants :

express : Le framework web pour créer l'API.
redis : communiquez avec Redis pour suivre et stocker le nombre de demandes.
express-rate-limit : middleware pour gérer la limitation de débit.
rate-limit-redis : plugin pour stocker les données de limite de débit dans Redis.

const RedisStore = require('rate-limit-redis');
const redis = require('redis');
const client = redis.createClient();

const limiter = rateLimit({
  store: new RedisStore({
    client: client,
  }),
  windowMs: 15 * 60 * 1000,
  max: 100,
});

登录后复制

Cette configuration garantit que les limites de requêtes sont maintenues quel que soit le serveur qui gère la requête, grâce à Redis agissant comme un magasin central. Pour une explication complète, vous pouvez consulter notre article sur comment implémenter la limitation de débit API avec Redis et Node.js.

3. Ajouter des limites pour différents types d'utilisateurs

Différents utilisateurs ont des besoins différents. Une approche courante consiste à autoriser davantage de demandes pour les utilisateurs premium tout en limitant les demandes pour ceux qui bénéficient de forfaits gratuits.

const rateLimit = require('express-rate-limit');

const freeLimiter = rateLimit({
  windowMs: 15 * 60 * 1000,
  max: 50, // Free-tier users get 50 requests per window
});

const premiumLimiter = rateLimit({
  windowMs: 15 * 60 * 1000,
  max: 1000, // Premium users get 1000 requests per window
});

app.use('/api/free/', freeLimiter);
app.use('/api/premium/', premiumLimiter);

登录后复制

Cette méthode permet d'équilibrer l'expérience utilisateur en fonction du niveau de service.

4. Limitation dynamique du débit

Les limites de débit statiques ne reflètent pas toujours les besoins des utilisateurs. Certains utilisateurs peuvent exiger des limites plus élevées à des moments précis, ce qui peut être géré en ajustant dynamiquement les limites en fonction des modèles d'utilisation.

let userRequestCount = 0;

app.use((req, res, next) => {
  if (userRequestCount < 100) {
    next();
  } else {
    res.status(429).send('Rate limit exceeded, please try again later.');
  }
});

登录后复制

Cette flexibilité permet à votre API de répondre intelligemment à différents scénarios d'utilisation.

5. Communiquer avec les en-têtes de nouvelle tentative

Les utilisateurs apprécient de savoir quand ils peuvent réessayer. En ajoutant un en-tête Retry-After aux réponses à débit limité, vous pouvez indiquer aux utilisateurs combien de temps attendre avant de faire une autre demande.

res.set('Retry-After', 60); // 60 seconds
res.status(429).send('Too many requests, please try again later.');

登录后复制

Cette petite étape améliore l'expérience utilisateur globale et réduit la frustration des clients interagissant avec votre API.

Surveillance et réglage fin

La limitation du débit doit être surveillée et ajustée en permanence en fonction des modèles d'utilisation réels. Le suivi des indicateurs clés tels que le nombre de violations des limites de débit, les temps de réponse de l'API et les commentaires des utilisateurs vous aidera à effectuer des ajustements éclairés.

Indicateurs clés à suivre

Violations des limites de débit : des chiffres élevés peuvent indiquer que les limites sont trop strictes ou que les utilisateurs ont besoin de plus de flexibilité.
Performances du serveur : garder un œil sur les temps de réponse peut révéler si la limitation du débit a l'effet souhaité.
Commentaires des utilisateurs : les commentaires des utilisateurs de l'API peuvent indiquer si les limites de débit sont trop restrictives ou si des modifications sont nécessaires.

Les outils de surveillance tels que Prometheus et Grafana peuvent fournir des informations en temps réel sur les performances de votre limitation de débit et sur les endroits où des ajustements peuvent être nécessaires.