怎么在Python Flask中限制单IP文件上传频率-Python教程-PHP中文网

Flask-Limiter是实现基于IP上传限频的可靠方案，需用get_real_ip从X-Forwarded-For提取真实IP并校验可信代理，限流装饰器必须置于@app.route外层以避免文件已读入内存，生产环境必须使用Redis后端并主动检测连接。

怎么在python flask中限制单ip文件上传频率

用 Flask-Limiter 实现基于 IP 的上传限频

直接结论：Flask 本身不提供请求频率控制，必须借助扩展。最可靠、生产可用的选择是 Flask-Limiter，它支持内存、Redis 等多种后端，且能精确到 remote_addr（即客户端 IP）做限流。

关键点在于——不能只靠 request.remote_addr 做判断，真实部署中你大概率在 Nginx 或负载均衡后面，这时它返回的是代理 IP（如 127.0.0.1），必须从 X-Forwarded-For 头提取真实 IP，并确保该头可信（否则可被伪造）。

实操建议：

安装：pip install Flask-Limiter
初始化时指定存储后端，开发阶段用内存即可：Limiter(app, key_func=get_real_ip)
定义 get_real_ip() 函数，优先取 X-Forwarded-For 第一个非私有地址， fallback 到 request.remote_addr
在上传路由上加装饰器：@limiter.limit("5 per day", key_func=get_real_ip)，注意单位支持 per second/minute/hour/day

为什么不能直接用 request.remote_addr？

因为绝大多数 Flask 应用不会直接暴露给公网，而是跑在 Nginx 后面。Nginx 默认不会透传原始 IP，request.remote_addr 拿到的是 Nginx 所在机器的地址（通常是 127.0.0.1 或内网地址），所有用户都会被当成同一个 IP 限流，完全失效。

正确做法是让 Nginx 在转发时带上真实 IP：

location / {
    proxy_set_header X-Forwarded-For $remote_addr;
    proxy_pass http://flask_app;
}

但仅这样还不够——攻击者可以手动发 X-Forwarded-For: 1.2.3.4 来绕过。所以你的 get_real_ip() 必须校验该头是否来自可信代理（比如只信任来自 10.0.0.0/8 或 Nginx 本机的请求），并跳过不可信段。

上传接口限频要避开文件读取阶段

限流逻辑必须放在「接收请求头」之后、「读取 request.files 之前」。否则，即使限流触发了，Flask 仍会把整个文件体读进内存或临时文件，白白消耗资源。

这意味着你不能把限流装饰器放在视图函数内部，而必须作为最外层装饰器，或者用 @app.before_request 配合路径匹配（但推荐前者，更清晰）。

librosa Python 音频与音乐分析库

librosa 是一个用于音频和音乐分析的 Python 库。它提供了特征提取、频谱分析、节拍跟踪、起始检测和音频可视化的工具，基于 NumPy 和 SciPy 构建，用于科学音频计算。

下载

常见错误写法：

@app.route('/upload', methods=['POST'])
def upload():
    # ❌ 错误：此时 request.files 已触发，文件可能已上传一半
    limiter.limit("3 per hour")(lambda: None)  # 无意义
    file = request.files['file']  # 文件已加载
    return 'ok'

正确结构：

@limiter.limit("3 per hour", key_func=get_real_ip)
@app.route('/upload', methods=['POST'])
def upload():
    file = request.files.get('file')
    if not file:
        return 'No file', 400
    # ✅ 此时才开始处理文件
    return 'Uploaded'