Ograniczanie liczby żądań i ochrona przed brute force
Chroń uwierzytelnianie i API aplikacji SaaS przed nadużyciami dzięki ograniczaniu liczby żądań, blokowaniu kont i wykładniczemu zwiększaniu odstępów z użyciem szybkiego magazynu, takiego jak Redis.
Ograniczanie liczby żądań i ochrona przed brute force to bezpłatna lekcja AI Powered SaaS: Stripe + Auth + Billing + Deploy na CoddyKit. To lekcja 4 z 4. Możesz przeczytać całą lekcję poniżej za darmo — a potem ćwiczyć ją interaktywnie w przeglądarce z wbudowanym edytorem kodu i tutorem AI dostępnym 24/7. To część ścieżki edukacyjnej AI Powered SaaS: Stripe + Auth + Billing + Deploy, a Twój postęp synchronizuje się między webem a aplikacją CoddyKit. Kurs AI Powered SaaS: Stripe + Auth + Billing + Deploy zawiera 4 lekcji w sumie.
Części tej lekcji nie zostały jeszcze przetłumaczone i są wyświetlane po angielsku.
Why Rate Limit?
Without limits, attackers can hammer your login endpoint to guess passwords, scrape data, or run up costs on metered APIs. Rate limiting caps how many requests a client can make in a window.
Identifying the Client
Limits are keyed on something that identifies the caller: an IP address, a user ID, or an API key. Choose the key based on what you are protecting.
const key = 'login:' + (userId ?? clientIp);The Fixed Window Algorithm
The simplest method counts requests per fixed time window. If the count exceeds the limit, reject until the window resets.
// allow 5 requests per 60 seconds
if (count > 5) return reject();Counting in Redis
Redis is ideal: INCR bumps a counter atomically, and a TTL auto-expires the window. The first request sets the expiry.
const n = await redis.incr(key);
if (n === 1) await redis.expire(key, 60);
if (n > 5) throw new Error('Too many requests');Sliding Window & Token Bucket
Fixed windows allow bursts at the edges. Sliding window smooths this, and token bucket permits short bursts while enforcing an average rate. Libraries like Upstash Ratelimit implement these for you.
import { Ratelimit } from '@upstash/ratelimit';
const rl = new Ratelimit({ redis, limiter: Ratelimit.slidingWindow(5, '60 s') });Applying in Middleware
Centralize limiting in Next.js middleware so it runs before every matched request.
export async function middleware(req) {
const { success } = await rl.limit(req.ip ?? 'anon');
if (!success) return new Response('Rate limited', { status: 429 });
}Returning 429 Properly
When limited, respond with status 429 and a Retry-After header telling clients when to try again.
return new Response('Too many requests', {
status: 429,
headers: { 'Retry-After': '60' }
});Account Lockout
For login specifically, track failed attempts per account. After several failures, temporarily lock the account to stop targeted brute force.
const fails = await redis.incr('fail:' + email);
if (fails >= 5) await redis.expire('lock:' + email, 900);Exponential Backoff
Increase the delay after each failure: 1s, 2s, 4s, 8s. This frustrates automated guessing while barely affecting legitimate users.
const delay = Math.min(2 ** fails, 60) * 1000;Avoiding False Positives
Be careful not to punish real users:
- Shared office IPs share a limit — prefer per-user keys when authenticated
- Reset counters on success
- Set generous limits for normal usage
Best Practices
Protect endpoints well:
- Key limits on IP, user, or API key
- Use Redis with sliding window or token bucket
- Return 429 with Retry-After
- Add lockout and backoff for login
Quick Check
Test your rate-limiting knowledge.
Recap
You learned to defend against abuse:
- Key rate limits on IP, user, or API key
- Count with Redis
INCRand TTL, or use sliding window libraries - Return
429withRetry-After - Add account lockout and exponential backoff for logins
Your auth and APIs now resist brute force and flooding.
Często zadawane pytania
Czy lekcja „Ograniczanie liczby żądań i ochrona przed brute force” jest bezpłatna?
Tak — pełny tekst „Ograniczanie liczby żądań i ochrona przed brute force” jest dostępny za darmo tutaj w sieci. Aby ćwiczyć ją interaktywnie (wbudowany edytor kodu i tutor AI dostępny 24/7) i odblokować resztę kursu AI Powered SaaS: Stripe + Auth + Billing + Deploy, przejdź na CoddyKit PRO. Kurs AI Powered SaaS: Stripe + Auth + Billing + Deploy zawiera 4 lekcji w sumie.
Co nauczysz się w „Ograniczanie liczby żądań i ochrona przed brute force”?
Chroń uwierzytelnianie i API aplikacji SaaS przed nadużyciami dzięki ograniczaniu liczby żądań, blokowaniu kont i wykładniczemu zwiększaniu odstępów z użyciem szybkiego magazynu, takiego jak Redis. Ćwiczysz AI Powered SaaS: Stripe + Auth + Billing + Deploy z praktycznym kodem, który uruchamiasz bezpośrednio w przeglądarce, a tutor AI dostępny 24/7 odpowiada na Twoje pytania podczas pracy nad lekcją.
Czy potrzebuję doświadczenia, aby zacząć AI Powered SaaS: Stripe + Auth + Billing + Deploy?
Nie wymagamy żadnego doświadczenia. AI Powered SaaS: Stripe + Auth + Billing + Deploy w CoddyKit jest strukturyzowany dla początkujących i zaawansowanych użytkowników, więc możesz zacząć tutaj lub od początku i uczyć się w swoim tempie. To lekcja 4 z 4.
Ile czasu zajmuje lekcja „Ograniczanie liczby żądań i ochrona przed brute force”?
Większość lekcji CoddyKit trwa około 5–10 minut. Każda lekcja to mały, interaktywny krok, dzięki czemu robisz systematyczne postępy i zawsze wracasz dokładnie do tego samego miejsca — na webie i w aplikacji.
Czy mogę pisać i uruchamiać kod w tej lekcji AI Powered SaaS: Stripe + Auth + Billing + Deploy?
Tak. Każda lekcja AI Powered SaaS: Stripe + Auth + Billing + Deploy zawiera wbudowany edytor kodu, więc piszesz i uruchamiasz prawdziwy kod bezpośrednio w przeglądarce i od razu otrzymujesz sprzężenie zwrotne od AI — bez konfiguracji na komputerze.
Wszystkie lekcje w tym kursie
- Integracja z OAuth 2.0
- Uwierzytelnianie wieloskładnikowe (MFA)
- Kontrola dostępu oparta na rolach (RBAC)
- Ograniczanie liczby żądań i ochrona przed brute force