FastAPI接口限流

　　今天分享接口限流。
　　如果没有接口限流，可能会导致服务器负载不平衡，暴力破解密码，恶意请求，导致服务器额外费用，拒绝服务攻击等。
　　因此做好接口限流很有必要。
　　怎么做接口限流呢？常见的接口限流算法有4种：
　　1、固定窗口计数器
　　比如说每小时限制请求10次，超过10次的直接丢弃。它有个缺点，就是有时会超过10次，最多达到2倍。比如说固定窗口为整点，8点50到9点之间发送了10个请求，9点到9点10分又发送了10请求，虽说都被放行，但8点50到9点50这一个小时内，发送了20个请求。
　　2、滑动窗口计数器
　　这个解决了1的问题，但是时间区间的精度划分越高，算法所需的空间容量就越大。
　　3、漏洞算法
　　漏洞算法多使用队列实现，服务的请求会存到队列中，服务的提供方则按照固定的速率从队列中取出请求并执行，过多的请求则放在队列中排队或直接拒绝。漏洞算法的缺陷也很明显，当短时间内有大量的突发请求时，即便此时服务器没有任何负载，每个请求也都得在队列中等待一段时间才能被响应。
　　4、令牌桶算法
　　令牌以固定速率生成。生成的令牌放入令牌桶中存放，如果令牌桶满了则多余的令牌会直接丢弃，当请求到达时，会尝试从令牌桶中取令牌，取到了令牌的请求可以执行。如果桶空了，那么尝试取令牌的请求就会被直接丢弃。令牌桶算法既能够将所有的请求平均分布到时间区间内，又能接受服务器能够承受范围内的突发请求。
　　可能有朋友会问，为啥不根据IP地址进行限流？其实做是可以做的，只是不那么主流。
　　既然要根据IP地址进行限流，那就会产生两个问题，一是IP地址的保存就是一个问题，如果接口是集群，你还要将IP地址保存在一个集中的数据库里，最好是redis。二是会误伤正常请求，因为一个大的局域网，其出口IP是一个，那么限制了这个IP的请求，可能导致正常用户被困。
　　以上4种方法中，最简单实用的就是滑动窗口计数器。
　　DjangoRESTFramework自带限流〔1〕：RESTFRAMEWORK｛DEFAULTTHROTTLECLASSES：〔restframework。throttling。AnonRateThrottle，restframework。throttling。UserRateThrottle〕，DEFAULTTHROTTLERATES：｛anon：100day，user：1000day｝｝
　　这里分享一下FastAPI限流的3个方法：
　　1、slowapi〔2〕
　　slowapi是有人根据flasklimiter改写的，计数器默认保存在内存中，具体用法如下：fromfastapiimportFastAPIfromslowapi。errorsimportRateLimitExceededfromslowapiimportLimiter，ratelimitexceededhandlerfromslowapi。utilimportgetremoteaddresslimiterLimiter（keyfuncgetremoteaddress）appFastAPI（）app。state。limiterlimiterapp。addexceptionhandler（RateLimitExceeded，ratelimitexceededhandler）app。get（home）limiter。limit（5minute）asyncdefhomepage（request：Request）：returnPlainTextResponse（test）app。get（mars）limiter。limit（5minute）asyncdefhomepage（request：Request，response：Response）：return｛key：value｝
　　2、fastapilimiter〔3〕
　　需要一个redis来保存计数器：importaioredisimportuvicornfromfastapiimportDepends，FastAPIfromfastapilimiterimportFastAPILimiterfromfastapilimiter。dependsimportRateLimiterappFastAPI（）app。onevent（startup）asyncdefstartup（）：redisawaitaioredis。createredispool（redis：localhost）FastAPILimiter。init（redis）app。get（，dependencies〔Depends（RateLimiter（times2，seconds5））〕）asyncdefindex（）：return｛msg：HelloWorld｝ifnamemain：uvicorn。run（main：app，debugTrue，reloadTrue）
　　3、asgiratelimit〔4〕
　　比如超过每秒五次访问限制后，阻止特定用户60秒：app。addmiddleware（RateLimitMiddleware，authenticateAUTHFUNCTION，backendRedisBackend（），config｛ruser：〔Rule（second5，blocktime60）〕，｝，）
　　以上推荐slowapi，无它，因为星是目前最多的。参考资料
　　〔1〕自带限流：https：www。djangorestframework。orgapiguidethrottling
　　〔2〕slowapi：https：github。comlaurentsslowapi
　　〔3〕fastapilimiter：https：github。comlong2icefastapilimiter
　　〔4〕asgiratelimit：https：github。comabersheeranasgiratelimit