该标签下有 1 篇文章
速率限制失败，通常不是因为上限太松，而是问错了问题。三个问题：按谁计数（IP 可以伪造，也被真实用户共用，所以身份优先）、计什么（只数请求次数会漏掉单次就很昂贵的操作——成本、大小、记录数）、达到上限时怎么处理（粗暴的锁定等于对正常用户的拒绝服务）。NIST 把连续失败上限定为100次，要求用延迟和 CAPTCHA 代替把人拒之门外；OWASP 把第三方服务的费用上限也列入其中，这是防止经济损失的最后一道控制。