Laravel Rate Limiter 仅尝试一次就错误地限制了访问

Question

我正在使用 Laravel 5.8，我想设置一个速率限制器，限制每分钟访问路由以及 IP 地址。

所以我将其添加到RouteServiceProvider.php ：

protected function configureRateLimiting()
    {
        RateLimiter::for('limited', function (Request $request) {
            return [
                Limit::perMinute(500),
                Limit::perMinute(20)->by($request->ip()),
            ];
        });
    }

然后将其应用于路线：

Route::get("/", "StaticPages\HomeController@show")->middleware('throttle:limited')->name('home');

因此，它应该在从同一个 IP 地址尝试 500 次或 20 次后限制访问。

但现在的问题是它仅在一次尝试后就显示429 Too Many Requests ！

我不知道为什么只尝试一次就限制访问。

那么这里出了什么问题？

如何将基于 IP 地址的限制正确设置为每分钟 20 和 500 个请求？

Answer 1

我相信您在尝试在 Laravel 中实施请求速率限制器时阅读了错误的文档。“named throttle”仅从版本 8 开始引入。它在 5.8 版中不可用，请参阅该特定版本的laravel 文档。

如果您通过以下方式声明油门：

 Route::get("/", "StaticPages\HomeController@show")->middleware('throttle:20,1')->name('home');

您可以在返回的 HTTP Header 上看到在第一次请求后说x-ratelimit-remaining 19。 因此，速率限制按预期工作。 但是，如果您设置throttle:limited ，它将无法理解它的含义并为x-ratelimit-remaining返回 -1 - 这就是为什么您可以打开一次页面并为后续请求返回 HTTP 错误 429 的原因。

如果您对我的解释仍有疑问，请在configureRateLimiting的开头放置一个die() ：

protected function configureRateLimiting()
{
    die();
    RateLimiter::for('limited', function (Request $request) {
        return [
            Limit::perMinute(500),
            Limit::perMinute(20)->by($request->ip()),
        ];
    });
}

如果那个特定的 function 实际上是由 Laravel 执行的，你的应用程序应该在它可以响应任何请求之前停止工作。 如果不是，它会运行得很好。

此时，您只有 2 个选择来实施您的速率限制器策略：1）实施您自己的速率限制器中间件； 2) 将您的 Laravel 至少更新到版本 8。

仅供参考，在Laravel文档页面的右上角，您可以设置要阅读的文档版本。

Answer 2

我认为您需要编写代码 [ return response('Custom response...', 429); ] 在函数中。

RateLimiter::for('limited', function (Request $request) {
    
    return Limit::perMinute(1000)->response(function () {
    return response('Custom response...', 429);

});

有关速率限制的更多信息：

https://laravel.com/docs/8.x/routing#rate-limiting

Answer 3

我同意@Bagus Tesa。 Laravel 5.8 throttle 中间件不接受除 max_rate 和 per_minutes 之外的参数。 Named rate limiting 在 Laravel 8 中引入，仅在 >= Laravel 8 版本中可用。 您可以实现自己的速率限制中间件或升级到 Laravel 8 以实现预期的功能。

参考： https://laravel.com/docs/5.8/routing#rate-limiting

Answer 4

尝试 go 到 app\Http\Kernel.php 和配置，如果你使用 api: 'throttle:[max_rate],[per_minutes]'

'api' => [
            'throttle:60,1',
            \Illuminate\Routing\Middleware\SubstituteBindings::class,
        ],

或者尝试覆盖 function

protected function resolveRequestSignature($request)
    {
        if ($user = $request->user()) {
            return sha1($user->getAuthIdentifier());
        }

        if ($route = $request->route()) {
            return sha1($route->getDomain().'|'.$request->ip());
        }

    throw new RuntimeException('Unable to generate the request signature. Route unavailable.');
}

仔细观察这两个 if 语句。 如果用户在场，则节流键基于他们的用户标识符。 如果用户不存在，则标识符包括$request->ip() 。 来自不同 IP 地址的请求进入不同的限制桶。