fullstack.org.ua

Обмеження частоти запитів · fullstack.org.ua

Середній11 хв· Fullstack Team

Обмеження частоти запитів

Застосуєте throttling для захисту endpoint-ів від зловживань, перебору паролів і простих DDoS-атак.

Що таке throttling

Throttling — це обмеження кількості запитів, які клієнт може виконати за певний проміжок часу.

Наприклад:

не більше 100 запитів за хвилину для звичайних endpoint-ів;
не більше 5 спроб входу за хвилину;
не більше 3 запитів за секунду до дорогого endpoint-а.

Коли клієнт перевищує ліміт, NestJS повертає HTTP-відповідь зі статусом 429 Too Many Requests.

Throttling допомагає:

зменшити кількість автоматизованих запитів;
ускладнити перебір паролів;
захистити ресурсоємні endpoint-и;
зменшити вплив простих DDoS-атак.

Це не заміна повноцінному захисту на рівні reverse proxy, CDN або firewall. Throttling працює всередині застосунку, тому запити вже досягають NestJS.

Встановлення пакета

Встановіть офіційний пакет для NestJS:

bash

npm install @nestjs/throttler

typescript

// app.module.ts
import { Module } from '@nestjs/common';
import { APP_GUARD } from '@nestjs/core';
import {
  ThrottlerGuard,
  ThrottlerModule,
} from '@nestjs/throttler';

import { AppController } from './app.controller';

@Module({
  imports: [
    ThrottlerModule.forRoot([
      {
        name: 'default',
        ttl: 60_000,
        limit: 10,
      },
    ]),
  ],
  controllers: [AppController],
  providers: [
    {
      provide: APP_GUARD,
      useClass: ThrottlerGuard,
    },
  ],
})
export class AppModule {}

typescript

// app.controller.ts
import {
  Controller,
  Get,
  Post,
  Body,
} from '@nestjs/common';
import {
  SkipThrottle,
  Throttle,
} from '@nestjs/throttler';

@Controller()
export class AppController {
  @Get('health')
  @SkipThrottle()
  health() {
    return { status: 'ok' };
  }

  @Get('posts')
  getPosts() {
    return {
      message: 'Список постів',
    };
  }

  @Post('login')
  @Throttle({
    default: {
      limit: 5,
      ttl: 60_000,
    },
  })
  login(@Body() body: { email: string; password: string }) {
    return {
      message: `Спроба входу для ${body.email}`,
    };
  }
}

typescript

// app.module.ts
import { Module } from '@nestjs/common';
import { APP_GUARD } from '@nestjs/core';
import {
  ThrottlerGuard,
  ThrottlerModule,
} from '@nestjs/throttler';

@Module({
  imports: [
    ThrottlerModule.forRoot([
      {
        name: 'short',
        ttl: 1_000,
        limit: 3,
      },
      {
        name: 'medium',
        ttl: 10_000,
        limit: 20,
      },
      {
        name: 'long',
        ttl: 60_000,
        limit: 100,
      },
    ]),
  ],
  providers: [
    {
      provide: APP_GUARD,
      useClass: ThrottlerGuard,
    },
  ],
})
export class AppModule {}

typescript

import { Controller, Get } from '@nestjs/common';
import { Throttle } from '@nestjs/throttler';

@Controller('reports')
export class ReportsController {
  @Get('generate')
  @Throttle({
    short: {
      limit: 1,
      ttl: 1_000,
    },
    medium: {
      limit: 5,
      ttl: 10_000,
    },
  })
  generateReport() {
    return {
      message: 'Звіт генерується',
    };
  }
}

typescript

import { Controller, Get } from '@nestjs/common';
import { SkipThrottle } from '@nestjs/throttler';

@Controller('health')
export class HealthController {
  @Get()
  @SkipThrottle()
  check() {
    return {
      status: 'ok',
    };
  }
}