如何在Python Django中实现API限流（Throttling）以防暴力破解？-Python教程-PHP中文网

SimpleRateThrottle 默认不防暴力破解，因其按请求次数（非失败次数）限流，不区分认证成功与否；攻击者可用代理轮换IP绕过IP限流，且UserRateThrottle对未登录用户无效。

如何在python django中实现api限流（throttling）以防暴力破解？

为什么 Django 的 `SimpleRateThrottle` 默认不防暴力破解？

Django REST Framework 的限流机制默认按 IP 或用户维度统计请求频次，但对暴力破解场景的关键缺陷在于：它不区分请求是否成功。比如攻击者用不同密码反复 POST 登录接口，只要没触发认证失败锁死逻辑，SimpleRateThrottle 仍会把每次请求计入配额——而登录接口恰恰是高频、低开销、易被枚举的入口。

真正需要限流的是「认证失败的登录尝试」，不是所有请求。所以直接套用 anon 或 user 类型的限流器效果有限。

攻击者可用代理池轮换 IP，绕过基于 get_ident 的 IP 限流
UserRateThrottle 对未登录用户无效（request.user 是 AnonymousUser）
默认限流器在视图执行前就计数，无法感知密码是否错误

如何为登录接口单独定制失败次数限流？

核心思路是：把限流逻辑下沉到认证失败后、返回响应前，只对 status_code == 401 的登录响应做计数，并绑定用户名（而非 IP）作为识别键——这样同一账号的爆破行为会被精准拦截，且不受 IP 轮换影响。

示例：继承 SimpleRateThrottle 并重写 get_cache_key 和 allow_request：

class FailedLoginThrottle(SimpleRateThrottle):
    scope = 'failed_login'
<pre class="brush:php;toolbar:false;">def get_cache_key(self, request, view):
    # 只对登录视图且含 username 的 POST 请求生效
    if not (request.method == 'POST' and hasattr(view, 'throttle_for_failed_login')):
        return None
    username = request.data.get('username') or request.POST.get('username')
    if not username:
        return None
    # key 格式：'throttle_failed_login_<username>'
    return f'throttle_failed_login_{username}'

def allow_request(self, request, view):
    # 先走父类逻辑判断是否允许（避免重复计数）
    if not super().allow_request(request, view):
        return False
    # 仅当认证失败时才真正计数（需配合视图中手动调用）
    return True</username>

注意：allow_request 这里只是放行，实际计数要由视图控制——因为只有视图知道本次登录是否失败。

Django Unfold

提供使用 django-unfold (v0.56+) 构建高级 Django 管理界面的专业指导。当用户提及 django-unfold、unfold admin 等内容时使用此技能。

下载

怎么在 DRF LoginView 中触发失败计数？

DRF 自带的 ObtainAuthToken 不支持失败回调，必须自定义视图。关键是在序列化器验证失败后、返回 401 前，显式调用限流器的 throttle_failure 方法（该方法会强制增加一次计数）。

在视图的 post 方法中，捕获 serializer.is_valid(raise_exception=True) 后的异常分支
或更稳妥地，在 serializer.save() 失败后（即认证失败时），调用 FailedLoginThrottle().throttle_failure(request)
确保该限流器已通过 throttle_classes 挂载到视图，否则 throttle_failure 无缓存实例

简写示意：

class CustomLoginView(APIView):
    throttle_classes = [FailedLoginThrottle]
<pre class="brush:php;toolbar:false;">def post(self, request):
    serializer = LoginSerializer(data=request.data)
    if not serializer.is_valid():
        # 认证失败：手动触发限流计数
        throttle = FailedLoginThrottle()
        throttle.throttle_failure(request)
        return Response({'error': 'Invalid credentials'}, status=401)
    # ... 成功逻辑