Rate time limit trong NodeJS

Bài đăng này đã không được cập nhật trong 2 năm

Chào các bạn, lại là mình đây. Hôm nay mình xin giới thiệu tới các bạn một kỹ thuật rất hay ho và hữu ích đó là Rate Limiting

1. Rate Limiting là gì?

Rate limiting được hiểu đơn giản là hạn chế (limit) lượng yêu cầu (request) tới server. Trên thực tế, người ta phải sử dụng 1 số thuật toán để đảm bảo chạy nhanh, chính xác mà lại ít tốn bộ nhớ. Giả sử như hệ thống của chúng ta nhận được hàng nghìn request nhưng mà trong số đó chỉ xử lí được trăm request/s chẳng hạn, và số request còn lại thì bị lỗi (do CPU hệ thống đang quá tải không thể xử lí được).

Để giải quyết được vấn đề này thì cơ chế Rate Limiting đã ra đời. Mục đích của nó chỉ cho phép nhận 1 số lượng request nhất định trong 1 đơn vị thời gian. Nếu quá sẽ trả về response lỗi.

2. Lợi ích, ứng dụng thực tế

Hạn chế được việc bị tấn công DDOS (Distributed Denial of Service)
Brute force password trong hệ thống (quét kiểu vét cạn)
Hạn chế spam hệ thống, hạn chế số lượng request thừa phải xử lý

Có thể tìm hiểu thêm về tấn công DDOS Tại đây, Brute force password tại đây

3. express-rate-limit

Trong NodeJS, ta có thể dễ dàng tạo ra Rate Limiting với express-rate-limit.

Cài đặt

Như mọi thư viện khác, ta có thể cài đặt express-rate-limit với lệnh

$ npm install --save express-rate-limit

Usage

Sau Khi tạo được một project. Ta có thể sử dụng express-rate-limit với một vài dòng như sau:

const express = require('express');
const rateLimit = require('express-rate-limit');
const port = 3000;

const app = express();
const apiLimiter = rateLimit({
    windowMs: 60 * 1000, // 1 minutes
    max: 2,
    message: 'Too many connection',
});

app.get('/', apiLimiter, (req,res) => {
   res.send(`I'm CuaMotCang`);
})

app.listen(port, () => {
    console.log('App is running');
})

Ở ví dụ trên mình đã tạo Rate Limiting cho mỗi địa chỉ IP chỉ được truy cập tối đa 2 lần mỗi phút. Ta có thể kiểm tra bằng Postman

Hình đầu tiên là kết quả trả về khi ta truy cập đường dẫn lần đầu tiên. Hình thứ 2 là kết quả trả về khi truy cập lần thứ 3 trở đi trong vòng 1 phút so với request đầu tiên. Đơn giản qúa phải không nào?

Rate limit options

windowMS: Thời gian của một chu kỳ (tính bằng millisecond)
Max: Lượng request tối đa có thể gửi trong 1 chu kỳ (VD: windowMS = 36000, max = 1000 => có thể gửi tối đa trong vòng 1h có thể gửi tối đa 1000 request)
Message: Thông báo trả về client khi truy cập quá số lần quy định

Handler: Một cách đơn giản hơn khi trả về client kiểu dữ liệu theo ý muốn. Mình trả về dữ liệu dạng object cho client. 429 là giá trị trả về khi lượng request vượt quá giới hạn.

const apiLimiter = rateLimit({
windowMs: 60 * 1000, // 1 minutes
max: 2,
handler: function (req, res) {
        res.status(429).send({
            status: 500,
            message: 'Too many requests!',
        });
    },
});

Và đây là kết quả:

Skip: Có thể sử dụng nó như một white list. Ví dụ sau đây mình bypass địa chỉ local để có thể sử dụng địa chỉ này để thoải mái gửi request mà không bị chặn bởi Rate Limiting.

const apiLimiter = rateLimit({
    windowMs: 60 * 1000, // 1 minutes
    max: 2,
    handler: function (req, res) {
        res.status(429).send({
            status: 500,
            message: 'Too many requests!',
        });
    },
    skip: (req, res) => {
        if(req.ip === '::ffff:127.0.0.1')
            return true;
        return false;
    }
});

Ngoài ra còn một số option khác bạn có thể xem chi tiết tại đây.

Script testing

Để đơn giản hơn cho việc thử nghiệm code với số lượng request lớn và thời gian lớn hơn bạn có thể tham khảo script sau:

const URL = 'http://localhost:3000/';

const request = require('request');
const req = async (url) => {
    return request.get({
        headers: {'content-type' : 'application/x-www-form-urlencoded'},
        url: url,
    }, function(error, response, body){
        console.log(body)
    })
};
setInterval(async () => {
    await req(URL);
}, 1000)