速率限制与滥用
阻止 API 滥用
速率限制与滥用 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 3 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。
什么是应用程序接口滥用
应用程序接口滥用是指以远超预期或不同于预期的方式使用应用程序接口。
即使没有成功入侵，攻击者也可以通过发送大量请求来抓取数据、猜测密码或使服务过载。
什么是速率限制
速率限制规定客户端在一段时间内可以发出的请求数量上限。
例如，每分钟 100 个请求。超过此数量后，应用程序接口会拒绝或延迟后续调用。
为什么这很重要
没有限制时，单个客户端就能淹没应用程序接口。
这会导致拒绝服务，推高成本，并助长暴力破解和数据抓取攻击。限制可以让使用保持公平与安全。
暴力破解攻击
没有限制的登录端点会招致暴力破解。
POST /api/login攻击者会尝试数千个密码。限流可以将这一过程拖慢到几乎无法进行，从而使攻击变得不切实际。
429 响应
当客户端超过限额时，应用程序接口会返回状态429 请求过多。
清晰的响应会告诉行为正常的客户端放慢速度并退避。
向客户端告知限额
优秀的应用程序接口会通过标头共享限额信息，让客户端能够进行调整：
X-RateLimit-Limit: 100
X-RateLimit-Remaining: 12
Retry-After: 30识别客户端
限额需要一个用于计数的标识，例如应用程序接口密钥、用户令牌或 IP 地址。
按用户分配的密钥最为理想，因为基于 IP 的限额可能由多人共享，也可能被伪造。
限流与阻断
限流会降低请求速度；阻断则会直接拒绝请求。
对于合法的流量突增，限流更加温和；而对于明显恶意的客户端，阻断的效果更强。
配额
配额是较长期的上限，例如每天 10,000 个请求。
配额控制总体使用量和成本，而速率限制用于处理短时间内的流量突发。
保护高成本端点
有些端点的成本要高得多，例如搜索或报告生成端点。
请对这些端点应用更严格的限额，避免少量高负载请求耗尽您的资源。
检测滥用模式
除了统计数量，还要关注各种模式：突然的流量突增、一个客户端向多个账户发出请求，或连续的数据抓取行为。
将限额与监控结合起来，可以发现更隐蔽的滥用行为。
快速检查
哪个 HTTP 状态码表示客户端已超过速率限制？
回顾
限流和配额可以阻止暴力破解、数据抓取和拒绝服务等应用程序接口滥用行为。
达到限额时返回429，使用密钥识别客户端，进行限流或阻断，保护高成本端点，并监控滥用模式。
用 AI 导师学习 Cyber Security Academy — 免费
在浏览器中编写并运行真实代码，获得全天候 AI 导师的即时帮助，并在网页或应用中继续学习。
- 课程
- 76
- 课程
- 303
常见问题解答
「速率限制与滥用」课时是免费的吗？
是的 — 「速率限制与滥用」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。
「速率限制与滥用」这节课中我会学到什么？
阻止 API 滥用 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cyber Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 3 节课，共 4 节。
「速率限制与滥用」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cyber Security Academy 课中编写并运行代码吗？
能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。