在Laravel應(yīng)用中實(shí)施限制速率和API限制

利率限制和API節(jié)流對(duì)於保護(hù)您的Laravel應(yīng)用程序免受濫用和確保服務(wù)的穩(wěn)定性和性能至關(guān)重要。 Laravel提供了內(nèi)置機(jī)制，以輕鬆實(shí)施這些安全措施。主要工具是throttle中間件。此中間軟件對(duì)緩存（通常配置為使用REDIS或數(shù)據(jù)庫(kù)）檢查以跟蹤指定時(shí)間窗口中從給定的IP地址提出的請(qǐng)求數(shù)。如果超過(guò)限制，中間件將返回429個(gè)請(qǐng)求HTTP響應(yīng)太多。

為了實(shí)現(xiàn)速率限制，您通常會(huì)將throttle中間件添加到API路由中。例如，在您的routes/api.php文件中：

 <code class="php">Route::middleware('auth:sanctum', 'throttle:60,1')->group(function () { Route::get('/users', [UserController::class, 'index']); Route::post('/users', [UserController::class, 'store']); });</code>

此代碼片段將請(qǐng)求限制為每分鐘60個(gè)請(qǐng)求（60個(gè)請(qǐng)求，1分鐘）。 auth:sanctum中間件可確保只有身份驗(yàn)證的用戶才能訪問(wèn)這些路線，從而進(jìn)一步增強(qiáng)安全性。 throttle中間件參數(shù)是靈活的；您可以調(diào)整請(qǐng)求數(shù)量和適合應(yīng)用程序需求的時(shí)間窗口。請(qǐng)記住適當(dāng)配置您的緩存系統(tǒng)。強(qiáng)烈建議您進(jìn)行性能，尤其是在高負(fù)載下。

使用速率限制確保Laravel API的最佳實(shí)踐

雖然throttle中間件是一個(gè)很好的起點(diǎn)，但幾種最佳實(shí)踐可以進(jìn)一步提高API的安全性：

• 顆粒控制：不要對(duì)整個(gè)API應(yīng)用單一速率限制。根據(jù)其資源強(qiáng)度和靈敏度為不同端點(diǎn)實(shí)施不同的限制。例如，資源密集型端點(diǎn)的下限可能比要求較低的端點(diǎn)具有下限。
• 基於用戶的節(jié)流：而不僅僅是基於IP的節(jié)流，而是考慮基於用戶的節(jié)流。這限制了基於經(jīng)過(guò)身份驗(yàn)證的用戶的要求，從而可以更加靈活性和更公平地處理合法用戶。您可以通過(guò)將特定於用戶的標(biāo)識(shí)符添加到節(jié)氣門鍵來(lái)實(shí)現(xiàn)這一目標(biāo)。
• 與其他安全措施結(jié)合：限制費(fèi)率應(yīng)成為分層安全策略的一部分。將其與輸入驗(yàn)證，身份驗(yàn)證（例如，使用Sanctum，Passport或其他身份驗(yàn)證提供商），授權(quán)和輸出衛(wèi)生化結(jié)合使用。
• 監(jiān)視和警報(bào)：監(jiān)視限制統(tǒng)計(jì)的費(fèi)率，以識(shí)別潛在的濫用模式或瓶頸。設(shè)置警報(bào)以何時(shí)達(dá)到速率限制時(shí)通知您，從而使您可以主動(dòng)解決潛在問(wèn)題。
• 定期審查和調(diào)整：定期審查您的費(fèi)率限製配置。隨著應(yīng)用程序的增長(zhǎng)和使用模式的變化，您可能需要調(diào)整限制以保持最佳性能和安全性。

在Laravel中定制限制限制請(qǐng)求的錯(cuò)誤響應(yīng)

Laravel的默認(rèn)429響應(yīng)提供了基本信息。您可以自定義以提供更多用戶友好和有用的錯(cuò)誤消息。您可以使用異常處理和自定義響應(yīng)來(lái)實(shí)現(xiàn)此目標(biāo)。

例如，創(chuàng)建一個(gè)自定義異常處理程序：

 <code class="php"><?php namespace App\Exceptions; use Illuminate\Http\JsonResponse; use Illuminate\Validation\ValidationException; use Illuminate\Auth\AuthenticationException; use Illuminate\Foundation\Exceptions\Handler as ExceptionHandler; use Symfony\Component\HttpKernel\Exception\HttpException; use Throwable; use Illuminate\Http\Response; use Symfony\Component\HttpFoundation\Response as SymfonyResponse; class Handler extends ExceptionHandler { public function render($request, Throwable $exception) { if ($exception instanceof HttpException && $exception->getStatusCode() === SymfonyResponse::HTTP_TOO_MANY_REQUESTS) { return response()->json([ 'error' => 'Too Many Requests', 'message' => 'Rate limit exceeded. Please try again later.', 'retry_after' => $exception->getHeaders()['Retry-After'] ?? 60, //Seconds ], SymfonyResponse::HTTP_TOO_MANY_REQUESTS); } return parent::render($request, $exception); } }</code>

該代碼截獲了429響應(yīng)，並返回了具有更多描述性信息的自定義JSON響應(yīng)，包括指示用戶何時(shí)可以重試的retry_after字段。您可以根據(jù)所使用的利率限制類型來(lái)定制此信息，以包含更多特定於上下文的信息。

拉拉維爾（Laravel）的不同限制策略並選擇合適的策略

Laravel的throttle中間件主要提供基於IP地址的速率限制。但是，您可以通過(guò)自定義邏輯和高速緩存密鑰操作來(lái)實(shí)現(xiàn)更複雜的策略。

• 基於IP：最簡(jiǎn)單的方法，基於客戶端的IP地址限制請(qǐng)求。適用於防止基本攻擊的一般保護(hù)，但可以用代理或共享IP地址繞開。
• 基於用戶的：基於身份驗(yàn)證的用戶的限制請(qǐng)求。這提供了一種更加細(xì)微的方法，允許合法用戶的更多請(qǐng)求，同時(shí)仍能防止濫用。這需要用戶身份驗(yàn)證。
• 端點(diǎn)特定：不同API端點(diǎn)的不同速率限制。這允許根據(jù)每個(gè)端點(diǎn)的資源強(qiáng)度和靈敏度調(diào)整保護(hù)。
• 結(jié)合策略：您可以結(jié)合這些策略。例如，您可能具有基於IP的未經(jīng)驗(yàn)證請(qǐng)求的限制，並且對(duì)身份驗(yàn)證的用戶更慷慨地基於用戶的限制。您可以通過(guò)制定包含IP地址和用戶ID的自定義緩存鍵來(lái)實(shí)現(xiàn)這一目標(biāo)。

選擇最佳策略取決於您應(yīng)用程序的特定需求和安全要求。對(duì)於簡(jiǎn)單的API，基於IP的限制可能就足夠了。對(duì)於使用用戶身份驗(yàn)證的更複雜的應(yīng)用程序，基於IP和基於用戶的限制的組合提供了更強(qiáng)的保護(hù)。始終優(yōu)先考慮顆粒狀控制和定期審查，以適應(yīng)不斷變化的使用模式和潛在威脅。

以上是如何在Laravel應(yīng)用中實(shí)施限制速率和API限制？的詳細(xì)內(nèi)容。更多資訊請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！