从项目里抽了个 Node.js rate limiter 出来，基于 Redis sorted set，支持多窗口限频

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

爱意满满的作品展示区。

这是一个创建于 543 天前的主题，其中的信息可能已经有所发展或是发生改变。

import ms from 'ms';
import {RateLimiter, RateLimitExceededError} from 'rateman';

const rateLimiter = new RateLimiter({
  name: 'user',
  windows: [
    {span: ms('1m'), limit: 10},
    {span: ms('1h'), limit: 100},
  ],
});

try {
  await rateLimiter.attempt('<user id>');
} catch (error) {
  if (error instanceof RateLimitExceededError) {
    // ...
  }
}

Express

app.use((req, _res, next) => {
  const ip = req.headers['x-forwarded-for'] || req.ip;

  void rateLimiter.attempt(ip).then(
    () => next(),
    error => next(error),
  );
});

error

req

import

4 条回复 • 2023-05-17 01:57:05 +08:00

mywaiting

2023-05-15 10:12:25 +08:00

刚好项目有用到类似的实现，帮顶~

翻了一遍限流的实现，最后还是自己用 TokenBucket/令牌桶搞定了

基于时间的限流都有掐时间点超过并发限制的缺点，只能按 windows 划分时间间隔，并且要求窗口时间间隔尽量小，不过基于时间的限流代码逻辑简单，容易理解，算是其优点

另，限流这事情，建议尽量不要在 JS App 里搞，建议前端丢个 nginx/traefik 甚至 kong 这样的，会方便很多

vilic

2023-05-15 12:51:09 +08:00 via iPhone

@mywaiting 谢谢，不过为啥掐时间点算缺点😂。多窗口应该不存在要时间间隔尽量小的问题？还是我没理解到你的意思。

edward1987

2023-05-16 18:14:40 +08:00

大概看了下思路，是用 sorted set 保存每次请求，然后根据时间窗口去判断请求数量？
我有个想法，感觉用 list 就能实现，每次请求就把当前时间戳 push 进去，
比如窗口设定是 {span: ms('1m'), limit: 10},
判断的时候只要 redis.lindex(key,10) 拿到前面第十个请求的时间戳，判断下时间是不是一分钟内，如果是一分钟内那就超出窗口限制。（不过这个方案在并发高的情况会有误差，塞进去的顺序不完全序）

vilic

2023-05-17 01:57:05 +08:00

@edward1987 因为代码历史久远（虽然刚抽出来），具体当时为啥选了 sorted set 我也忘记了。可能是为了方便删除特定时间以前的？你这个感觉 multiplier 为 1 的时候应该好多了，> 1 的时候应该也不差（现在是取出后 js 处理，换成这个应该是 push 的时候处理）。那个误差应该不重要。空了我试试。