Algoritmen voor rate limiting

Snelheidsbeperking begrenst hoeveel aanvragen een client binnen een bepaalde tijd kan doen. Het beschermt je API tegen misbruik, op hol geslagen clients en onbedoelde verkeerspieken, en zorgt ervoor dat de capaciteit eerlijk over gebruikers wordt verdeeld.

Sinds .NET 7 bevat ASP.NET Core volwaardige middleware voor snelheidsbeperking in Microsoft.AspNetCore.RateLimiting, met vier ingebouwde algoritmen.

Met het algoritme voor een vast tijdvenster zijn N aanvragen per vast tijdsblok toegestaan. Wanneer het blok eindigt, wordt de teller op nul gezet.

Dit is eenvoudig, maar pieken op de grens van een tijdvenster kunnen de effectieve snelheid kortstondig verdubbelen.

Een glijdend tijdvenster vermindert het grensprobleem door het tijdvenster in segmenten te verdelen en verlopen segmenten door te schuiven, zodat de limiet voor elk aaneengesloten tijdvenster geldt.

Een tokenbucket bevat een voorraad tokens. Elke aanvraag verbruikt er één en tokens worden voortdurend aangevuld. Korte pieken tot de grootte van de bucket zijn toegestaan, terwijl het langetermijngemiddelde wordt begrensd.

De beperking van gelijktijdigheid werkt anders: deze begrenst het aantal aanvragen dat tegelijkertijd wordt verwerkt, niet het aantal per tijdseenheid. Dit is ideaal om dure bewerkingen te beschermen.

Elke beperker kan aanvragen die de limiet overschrijden in een wachtrij plaatsen in plaats van ze direct af te wijzen. QueueLimit stelt de grootte van de wachtrij in en QueueProcessingOrder bepaalt de eerlijkheid: de oudste of de nieuwste eerst.

Stem het algoritme af op het doel:

• Vast tijdvenster: eenvoudigst en voor veel situaties voldoende.
• Glijdend tijdvenster: gelijkmatiger en voorkomt pieken op tijdvenstergrenzen.
• Tokenbucket: staat beheerste pieken toe.
• Gelijktijdigheid: begrenst gelijktijdige belasting, niet de snelheid.

Limieten worden toegepast per partitiesleutel – meestal de gebruiker, API-sleutel of het IP-adres – zodat één luidruchtige client niet ieders quotum kan opgebruiken. Met één gedeelde partitie zou al het verkeer gezamenlijk worden begrensd.

Een afgewezen aanvraag retourneert HTTP 429 Te veel aanvragen. Een goed opgevoede API stuurt ook een Retry-After-koptekst mee, die aangeeft wanneer de client het opnieuw kan proberen.

Verwante ideeën: snelheidsbeperking begrenst de kortetermijnfrequentie, quota's begrenzen totalen over een langere periode, zoals per dag of maand, en afremmen vertraagt aanvragen in plaats van ze af te wijzen. De middleware richt zich op snelheidsbeperking.

Je hebt de concepten van snelheidsbeperking geleerd:

• Vier algoritmen: vast tijdvenster, glijdend tijdvenster, tokenbucket en gelijktijdigheid.
• Een tokenbucket staat pieken toe; gelijktijdigheid begrenst gelijktijdige belasting.
• Limieten worden toegepast per partitiesleutel; wachtrijen vangen overschrijdingen op.
• Afgewezen aanvragen krijgen 429 met Retry-After.

Volgende stap: de middleware configureren.