从项目里抽了个 Node.js rate limiter 出来，基于 Redis sorted set，支持多窗口限频

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

已注册用户请登录

爱意满满的作品展示区。

这是一个创建于 1065 天前的主题，其中的信息可能已经有所发展或是发生改变。

import ms from 'ms'; import {RateLimiter, RateLimitExceededError} from 'rateman'; const rateLimiter = new RateLimiter({ name: 'user', windows: [ {span: ms('1m'), limit: 10}, {span: ms('1h'), limit: 100}, ], }); try { await rateLimiter.attempt('<user id>'); } catch (error) { if (error instanceof RateLimitExceededError) { // ... } }

Express

app.use((req, _res, next) => { const ip = req.headers['x-forwarded-for'] || req.ip; void rateLimiter.attempt(ip).then( () => next(), error => next(error), ); });

error

req

import

4 条回复 2023-05-17 01:57:05 +08:00

mywaiting

2023 年 5 月 15 日

刚好项目有用到类似的实现，帮顶~

翻了一遍限流的实现，最后还是自己用 TokenBucket/令牌桶搞定了

基于时间的限流都有掐时间点超过并发限制的缺点，只能按 windows 划分时间间隔，并且要求窗口时间间隔尽量小，不过基于时间的限流代码逻辑简单，容易理解，算是其优点

另，限流这事情，建议尽量不要在 JS App 里搞，建议前端丢个 nginx/traefik 甚至 kong 这样的，会方便很多

vilicvane

2023 年 5 月 15 日 via iPhone

@mywaiting 谢谢，不过为啥掐时间点算缺点。多窗口应该不存在要时间间隔尽量小的问题？还是我没理解到你的意思。

edward1987

2023 年 5 月 16 日

大概看了下思路，是用 sorted set 保存每次请求，然后根据时间窗口去判断请求数量？
我有个想法，感觉用 list 就能实现，每次请求就把当前时间戳 push 进去，
比如窗口设定是 {span: ms('1m'), limit: 10},
判断的时候只要 redis.lindex(key,10) 拿到前面第十个请求的时间戳，判断下时间是不是一分钟内，如果是一分钟内那就超出窗口限制。（不过这个方案在并发高的情况会有误差，塞进去的顺序不完全序）

vilicvane

2023 年 5 月 17 日

@edward1987 因为代码历史久远（虽然刚抽出来），具体当时为啥选了 sorted set 我也忘记了。可能是为了方便删除特定时间以前的？你这个感觉 multiplier 为 1 的时候应该好多了，> 1 的时候应该也不差（现在是取出后 js 处理，换成这个应该是 push 的时候处理）。那个误差应该不重要。空了我试试。