成本控制

速率限制與濫用控制：設計能擋住暴力破解與費用暴增的限制

速率限制失敗，通常不是因為上限太寬鬆，而是問錯了問題。三個問題：以誰為單位計算（IP 可以偽造，也被真正的使用者共用，所以身分優先）、計算什麼（只算請求數會漏掉單次就很昂貴的操作，例如費用、大小、筆數）、達到上限時怎麼處理（粗暴的鎖定等於對合法使用者發動阻斷服務）。NIST 把連續失敗上限定為 100 次，並要求以延遲和 CAPTCHA 取代把人擋在門外；OWASP 把第三方服務的支出上限列為防止財務損失的最後一道控制。