Node.js 中的 API 速率限制

API 構成了現代 Web 通訊的支柱，管理客戶端存取它們的頻率至關重要。實作速率限制可透過控制 API 的請求流來確保您的伺服器保持回應速度和安全。

本指南重點在於 Node.js（一個廣泛使用的用於建立可擴展 Web 服務的平台）中實現 API 速率限制的關鍵策略。

什麼是 API 速率限制？

API 速率限制限制使用者或用戶端在給定時間範圍內可以向 API 發出的請求數量。它是防止過度使用和濫用的保障措施，旨在確保公平存取資源並維護伺服器健康。

為什麼 API 速率限制很重要？

• DDoS 防護：透過減少單一來源的請求數量來限制分散式阻斷服務 (DDoS) 攻擊的影響。
• 提高伺服器效能：透過在使用者之間公平分配資源來防止伺服器過載。
• 更好的使用者體驗：透過防止濫用 API，確保所有使用者得到及時回應。

Node.js 中 API 速率限制的最佳實踐

1. 實施中介軟體

使用中間件來管理速率限制既有效率又有效。 express-rate-limit 套件是 Node.js 中的一種流行工具，尤其是在使用 Express 框架時。您可以透過在控制台中輸入 npm i express-rate-limit 來安裝軟體套件。

const rateLimit = require('express-rate-limit');

const limiter = rateLimit({
  windowMs: 15 * 60 * 1000, // 15 minutes
  max: 100, // Limit each IP to 100 requests per windowMs
  message: 'Too many requests from this IP, please try again after 15 minutes',
});

app.use('/api/', limiter);

在此範例中：

• windowMs 設定 15 分鐘視窗。
• 該視窗中每個 IP 的最大請求數不得超過 100 個。
• 當超出限制時，訊息會提供回饋。

使用這樣的中間件可確保請求在流程的早期被過濾，從而節省伺服器資源。

2.使用Redis進行分散式系統

對於在多個伺服器上執行的 API，速率限制需要在整個系統中保持一致。在這些情況下，Redis 通常是共享儲存的首選解決方案。將express-rate-limit與rate-limit-redis結合以順利實施。

您需要安裝以下軟體包：

• express：用於建立 API 的 Web 框架。
• redis：與 Redis 通訊以追蹤和儲存請求計數。
• express-rate-limit：處理速率限制的中間件。
• rate-limit-redis：在 Redis 中儲存速率限制資料的插件。

const RedisStore = require('rate-limit-redis');
const redis = require('redis');
const client = redis.createClient();

const limiter = rateLimit({
  store: new RedisStore({
    client: client,
  }),
  windowMs: 15 * 60 * 1000,
  max: 100,
});

由於 Redis 充當中央存儲，因此無論哪個伺服器處理請求，此設定都可以確保請求限制得以維持。如需完整說明，您可以查看我們關於如何使用 Redis 和 Node.js 實作 API 速率限制的文章。

3.針對不同使用者類型新增限制

不同的使用者有不同的需求。常見的方法是允許高級用戶的更多請求，同時限制免費計劃用戶的請求。

const rateLimit = require('express-rate-limit');

const freeLimiter = rateLimit({
  windowMs: 15 * 60 * 1000,
  max: 50, // Free-tier users get 50 requests per window
});

const premiumLimiter = rateLimit({
  windowMs: 15 * 60 * 1000,
  max: 1000, // Premium users get 1000 requests per window
});

app.use('/api/free/', freeLimiter);
app.use('/api/premium/', premiumLimiter);

此方法有助於根據服務等級平衡使用者體驗。

4. 動態速率限制

靜態速率限制可能不會總是反映使用者需求。某些用戶可能在特定時間需要更高的限制，這可以透過根據使用模式動態調整限制來解決。

let userRequestCount = 0;

app.use((req, res, next) => {
  if (userRequestCount < 100) {
    next();
  } else {
    res.status(429).send('Rate limit exceeded, please try again later.');
  }
});

這種靈活性使您的 API 能夠智慧地回應不同的使用場景。

5. 與重試標頭進行通信

用戶很高興知道何時可以重試。透過在速率受限的回應中新增 Retry-After 標頭，您可以引導使用者在發出另一個請求之前等待多久。

res.set('Retry-After', 60); // 60 seconds
res.status(429).send('Too many requests, please try again later.');

這一小步驟改善了整體使用者體驗，並減少了客戶端與您的 API 互動的挫折感。

監控和微調

應根據實際使用模式持續監控和調整速率限制。追蹤速率限制違規次數、API 回應時間和用戶回饋等關鍵指標將幫助您做出明智的調整。

要追蹤的關鍵指標

• 違反速率限制：數字過高可能表示限制過於嚴格或使用者需要更大的靈活性。
• 伺服器效能：密切注意回應時間可以揭示速率限制是否達到了預期的效果。
• 使用者回饋：API 使用者的回饋可以提供有關速率限制是否過於嚴格或是否需要變更的見解。

Prometheus 和 Grafana 等監控工具可以即時洞察您的速率限制的執行情況以及可能需要調整的位置。

Final Thoughts

API rate limiting is necessary for managing traffic, protecting resources, and ensuring fair usage. By following these practices in Node.js, you can build a resilient system that balances security with user experience.

Whether you're implementing basic limits or building dynamic systems that adjust in real time, effective rate limiting is an essential part of API management.

For more insights and tutorials, visit CodeNoun and learn how to build scalable Node.js applications efficiently.

以上是Node.js 中的 API 速率限制的詳細內容。更多資訊請關注PHP中文網其他相關文章！