Algoritmi di limitazione della frequenza

Il rate limiting limita il numero di richieste che un client può effettuare in un determinato intervallo di tempo. Protegge l'API da abusi, client fuori controllo e picchi di traffico accidentali, mantenendo equa la capacità disponibile tra gli utenti.

A partire da .NET 7, ASP.NET Core include un middleware di rate limiting completo in Microsoft.AspNetCore.RateLimiting, con quattro algoritmi integrati.

L'algoritmo a finestra fissa consente N richieste per ogni intervallo di tempo fisso. Al termine dell'intervallo, il contatore viene reimpostato a zero.

È semplice, ma i picchi al confine tra due finestre possono raddoppiare temporaneamente la frequenza effettiva.

La finestra scorrevole risolve il problema dei confini dividendo l'intervallo in segmenti e facendo avanzare quelli scaduti, così il limite si applica a qualsiasi finestra temporale continua.

Il token bucket contiene un insieme di token. Ogni richiesta ne consuma uno; i token vengono reintegrati a una velocità costante. Sono consentiti brevi picchi fino alla capacità del bucket, mantenendo al contempo una media nel lungo periodo.

Il limitatore di concorrenza funziona diversamente: limita il numero di richieste in elaborazione contemporaneamente, non il numero di richieste per unità di tempo. È ideale per proteggere le operazioni costose.

Ogni limitatore può accodare le richieste che superano il limite, invece di rifiutarle immediatamente. QueueLimit imposta le dimensioni della coda e QueueProcessingOrder stabilisce l'ordine di elaborazione, dando priorità alle richieste più vecchie o più recenti.

Scelga l'algoritmo in base all'obiettivo:

• Finestra fissa: è la soluzione più semplice e sufficiente in molti casi.
• Finestra scorrevole: è più uniforme ed evita i picchi ai confini.
• Token bucket: consente picchi controllati.
• Concorrenza: limita il carico simultaneo, non la frequenza.

I limiti vengono applicati per chiave di partizione, in genere l'utente, la chiave API o l'indirizzo IP, così un singolo client rumoroso non può esaurire la quota di tutti. Un'unica partizione condivisa limiterebbe tutto il traffico insieme.

Una richiesta rifiutata restituisce HTTP 429 Too Many Requests. Un'API ben progettata restituisce anche un header Retry-After che indica al client quando riprovare.

Si tratta di concetti correlati: il rate limiting limita la frequenza a breve termine, le quote limitano i totali su periodi più lunghi, ad esempio per giorno o per mese, mentre il throttling rallenta il traffico invece di rifiutarlo. Il middleware si concentra sul rate limiting.

Verifichi la sua comprensione degli algoritmi.

Ha appreso i concetti del rate limiting:

• Quattro algoritmi: finestra fissa, finestra scorrevole, token bucket e concorrenza.
• Il token bucket consente picchi; la concorrenza limita il carico simultaneo.
• I limiti vengono applicati per chiave di partizione; le code gestiscono i superamenti temporanei.
• Le richieste rifiutate ricevono 429 con Retry-After.

Prossimo argomento: configurazione del middleware.