接口别不做频率限制，爬虫一秒几百次请求，1M带宽直接占满，正常用户都打不开

新手写接口，不做频率限制，脚本24小时不停请求接口，一秒几百次，把服务器带宽和CPU全占满，正常用户都访问不了网站，其实加个简单的频率限制，脚本根本打不垮。第一，同一个IP，一分钟请求接口不能超过60次，超过的直接返回429，等一分钟再请求，脚本刷接口的频率被限制，服务器资源就不会被占满；第二，登录、验证码这类敏感接口，限制更严，一分钟最多试5次，挡住暴力破解密码的脚本；第三，别把限制做在前端，前端校验一下就被绕过，后端做频率限制，脚本请求多少次都拦得住；第四，用户正常操作不会触发限制，限制只针对异常的高频请求，别把真实用户挡在外面。

我之前的博客，接口没做限制，被爬虫一秒请求几百次，把1M带宽占满，网站正常用户都打不开，加了IP频率限制之后，爬虫请求被拦，带宽立刻空出来，正常访问恢复。很多新手觉得接口就是给用户调的，不用做限制，黑产的脚本24小时扫你的接口，不做限制，分分钟把小服务器打挂，几行代码加个频率限制，比被攻击了恢复省事。