限速注冊API

Question

我們是小型啟動，我們在后端使用SailsJS（位於NodeJS之上）。 我們是一個API驅動的架構。 我想對大多數API實施速率限制。 我想從Signup的一個小用例開始。 注冊是一個公共API，目前任何人都可以訪問它來創建帳戶。

1. 我的問題是如何通過對此公共API進行速率限制來防止DoS攻擊？
2. 假設我根據IP地址限制此API。 那么問題是如果一些用戶在同一個組織中。 他們可以擁有相同的IP地址。 那么，我們如何確保它們的速率受限呢？

我非常感謝您的建議和意見。

Answer 1

如果注冊不一定是純粹的編程API，並且可能需要通過網頁，那么您可以使用驗證碼或其他“證明您是人”的注冊操作機制。 這將阻止注冊API上的程序化DoS，因為每個請求都需要人工干預。

其他API請求需要速率限制器，以防止濫用已創建的帳戶。 那些后續API調用可能會引用特定帳戶，因此您可以通過限制帳戶而不是IP地址來處理共享公司IP地址。