rate-limiting-implementation

速率限制实现

目录

• 概述
• 适用场景
• 快速入门
• 参考指南
• 最佳实践

概述

实现速率限制和限流机制，以保护服务免受滥用、确保资源分配公平，并在负载下维持系统稳定性。

适用场景

• 保护公共 API 免受滥用
• 防止 DOS/DDOS 攻击
• 确保不同用户之间公平使用资源
• 实现 API 配额和计费等级
• 管理系统负载和背压
• 强制执行 SLA 限制
• 控制第三方 API 的使用
• 管理数据库连接

快速入门

最小可运行示例：

interface TokenBucketConfig {
  capacity: number;
  refillRate: number; // tokens per second
  refillInterval: number; // milliseconds
}

class TokenBucket {
  private tokens: number;
  private lastRefill: number;
  private readonly capacity: number;
  private readonly refillRate: number;
  private readonly refillInterval: number;
  private refillTimer?: NodeJS.Timeout;

  constructor(config: TokenBucketConfig) {
    this.capacity = config.capacity;
    this.tokens = config.capacity;
    this.refillRate = config.refillRate;
    this.refillInterval = config.refillInterval;
    this.lastRefill = Date.now();

    this.startRefill();
  }

  private startRefill(): void {
// ... (see reference guides for full implementation)

参考指南

references/ 目录中的详细实现：

指南	内容
令牌桶算法（TypeScript）	令牌桶算法（TypeScript）
基于 Redis 的分布式速率限制器	基于 Redis 的分布式速率限制器
Express 中间件	Express 中间件
滑动窗口算法（Python）	滑动窗口算法（Python）
分级速率限制	分级速率限制
自适应速率限制	自适应速率限制

最佳实践

✅ 应该做

• 在多服务器部署中使用分布式速率限制
• 实现多个速率限制级别（每秒、每分钟、每小时、每天）
• 返回正确的 HTTP 状态码（429 请求过多）
• 在响应中包含 Retry-After 标头
• 记录速率限制违规情况以便监控
• 实现优雅降级
• 使用 Redis 或类似工具进行持久化
• 考虑按成本进行速率限制（高成本操作消耗更多配额）
• 为合理的流量峰值提供突发额度
• 清晰地说明 API 限制

❌ 不应该做

• 在分布式系统中将速率限制数据存储在应用内存中
• 使用固定窗口计数器时不考虑边界情况
• 忘记清理过期数据
• 因单个违规者而屏蔽某个 IP 的所有请求
• 将限制设置得过于严格，妨碍合理使用
• 忽视速率限制对用户体验的影响
• 在速率限制器发生故障时采取故障关闭（拒绝所有请求）