当前位置：首页 > article >正文

ASP.NET Core WebApi接口IP限流实践技术指南

article 2025/1/17 10:05:50

在当今的Web开发中，接口的安全性和稳定性至关重要。面对恶意请求或频繁访问，我们需要采取有效的措施来保护我们的WebApi接口。IP限流是一种常见的技术手段，通过对来自同一IP地址的请求进行频率控制，可以有效地防止恶意攻击和过度消耗服务器资源。本文将详细介绍如何在.NET Core WebApi中实现IP限流。

一、IP限流概述

IP限流，简单来说，就是根据客户端的IP地址，对其发出的请求进行频率控制。如果某个IP地址在一段时间内发出的请求超过了设定的阈值，我们就认为它是恶意的，并对其进行限制，比如暂时封禁一段时间。

二、准备工作

在开始实现IP限流之前，我们需要做一些准备工作：

明确限流策略：根据应用的实际情况，设定合理的限流策略。比如，每个IP每分钟最多允许访问100次，超过这个次数就进行限制。
选择合适的限流算法：常见的限流算法有固定窗口计数器、滑动窗口计数器、令牌桶算法、漏桶算法等。每种算法都有其特点和适用场景，需要根据实际需求进行选择。
准备存储介质：为了记录每个IP的请求次数，需要一个存储介质，比如内存、数据库或Redis等。内存速度快，但重启应用会丢失数据；数据库持久化，但性能可能受限；Redis则是一个很好的折中选择，既快又持久。

三、在.NET Core WebApi中实现IP限流

在.NET Core中，中间件是一个强大的功能，它允许我们在请求处理的管道中插入自定义的代码。我们可以编写一个限流中间件，对每个进入的请求进行IP检查。

方法一：自定义中间件

创建限流中间件：

public classIpRateLimitMiddleware
{
    privatereadonly RequestDelegate _next;
    privatereadonly IMemoryCache _memoryCache;
    privatereadonlyint _maxRequests;
    privatereadonly TimeSpan _timeWindow;

    public IpRateLimitMiddleware(RequestDelegate next, IMemoryCache memoryCache, IOptions<IpRateLimitOptions> options)
    {
        _next = next;
        _memoryCache = memoryCache;
        _maxRequests = options.Value.MaxRequests;
        _timeWindow = options.Value.TimeWindow;
    }

    public async Task InvokeAsync(HttpContext context)
    {
        var clientIp = context.Connection.RemoteIpAddress?.ToString();
        if (string.IsNullOrEmpty(clientIp))
        {
            // 如果无法获取客户端IP,则直接放行
            await _next(context);
            return;
        }

        var requestCountKey = $"IpRateLimit:{clientIp}";
        if (!_memoryCache.TryGetValue(requestCountKey, outint requestCount))
        {
            requestCount = 0;
        }

        // 增加请求次数
        requestCount++;

        // 检查是否超过限制
        if (requestCount > _maxRequests)
        {
            // 如果超过限制,则根据策略进行处理,比如返回429 Too Many Requests状态码
            context.Response.StatusCode = StatusCodes.Status429TooManyRequests;
            await context.Response.WriteAsync("Too many requests from this IP address.");
            return;
        }

        // 设置缓存过期时间
        _memoryCache.Set(requestCountKey, requestCount, _timeWindow);

        // 如果没有超过限制,则继续处理请求
        await _next(context);
    }
}

// 还需要定义一个配置类IpRateLimitOptions来存储限流策略
publicclassIpRateLimitOptions
{
    publicint MaxRequests { get; set; }
    public TimeSpan TimeWindow { get; set; }
}

注册中间件：

在Startup.cs的Configure方法中注册这个中间件：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    // ... 其他中间件配置
    app.UseMiddleware<IpRateLimitMiddleware>();
    // ... 其他中间件配置
    app.UseMvc();
}

别忘了在Startup.cs的ConfigureServices方法中注入IMemoryCache和IOptions<IpRateLimitOptions>：

public void ConfigureServices(IServiceCollection services)
{
    // ... 其他服务配置
    services.AddMemoryCache();
    services.Configure<IpRateLimitOptions>(Configuration.GetSection("IpRateLimit"));
    // ... 其他服务配置
}

并在appsettings.json中添加相应的配置：

{
    "IpRateLimit": {
        "MaxRequests": 100,
        "TimeWindow": "00:01:00" // 1分钟时间窗口
    }
}

方法二：使用第三方库AspNetCoreRateLimit

如果你觉得从头开始实现IP限流太过繁琐，你也可以考虑使用现成的第三方库，比如AspNetCoreRateLimit。这个库提供了更强大、更灵活的限流功能，包括IP限流、客户端ID限流、API端点限流等。

安装NuGet包：

使用NuGet包管理器安装AspNetCoreRateLimit中间件。

Install-Package AspNetCoreRateLimit

配置中间件：

在Program.cs（或Startup.cs）中配置AspNetCoreRateLimit组件：

public void ConfigureServices(IServiceCollection services)
{
    // ... 其他服务配置

    services.AddMemoryCache();

    // 配置IP限流策略
    services.Configure<IpRateLimitOptions>(Configuration.GetSection("IpRateLimiting"));

    // 添加对内存中的IP策略存储的支持
    services.AddSingleton<IIpPolicyStore, MemoryCacheIpPolicyStore>();
    services.AddSingleton<IRateLimitCounterStore, MemoryCacheRateLimitCounterStore>();
    services.AddSingleton<IRateLimitConfiguration, RateLimitConfiguration>();

    // 添加AspNetCoreRateLimit中间件
    services.AddAspNetCoreRateLimit();

    // ... 其他服务配置
}

在appsettings.json中添加限流规则：

{
    "IpRateLimiting": {
        "EnableEndpointRateLimiting": true,
        "StackBlockedRequests": false,
        "RealIpHeader": "X-Real-IP",
        "ClientIdHeader": "X-ClientId",
        "HttpStatusCode": 429,
        "IpWhitelist": [],
        "EndpointWhitelist": [],
        "GeneralRules": [
            {
                "Endpoint": "*",
                "Period": "1m",
                "Limit": 100
            }
        ]
    }
}

这里的GeneralRules节点定义了一个全局限流规则，表示所有端点在1分钟内最多允许100次请求。

添加中间件：

在Program.cs（或Startup.cs）的Configure方法中添加AspNetCoreRateLimit中间件：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // ... 其他中间件配置

    app.UseIpRateLimiting();

    // ... 其他中间件配置

    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllers();
    });
}