我们继续来讨论 Laravel 及站点安全，这次来介绍一些 API 方面的。并且会探讨一些 Laravel 调用限制的功能。为方便起见，我们以一个 TODO 应用（可参照此文章）来介绍。
什么是频率限制？
频率限制就是控制在单位时间内的请求次数。它可以应用到端口、IP、路由等等，如果使用得当的话，它可以非常有效的组织恶意攻击。以我们的 API 为例，它可以拒绝 DOS 攻击，因此，当普通用户访问的时候不至于宕机。
注意，频率限制也可以通过防火墙来实现。例如，使用 Debian 系统中的 iptables：
> iptables -I INPUT -p tcp --dport 80 -i eth0 -m state --state NEW -m recent \ --set > iptables -I INPUT -p tcp --dport 80 -i eth0 -m state --state NEW -m recent \ --update --seconds 60 --hitcount 10 -j DROP
这会限制 80 端口的访问，每分钟 10 次。但是这种方法很难实现限制只某些路由的请求而非整个网站。幸运的是，Laravel（5.2 以上版本）为这种需求内置了 API Throttling 中间件。
Laravel 频率限制
首先，我们来创建一个 API。目标是通过 API 来创建任务。这很简单，我们只需添加两个路由（列表和添加），我们只是返回 JSON 数据而非一个模板页面。
Route::group(['prefix' => 'api/v1'], function () {
Route::get('/getTasks', function () {
return Task::all();
});
Route::post('/addTask', function (Request $request) {
$validator = Validator::make($request->all(), [
'names' => 'required|max:255',
]);
if ($validator->fails()) {
return response()->json(['error' => $validator->messages()],200);
}
$task = new Task;
$task->names = $request->names;
$task->save();
return response()->json(['response' => "Added {$request->names} to tasks."], 200);
});
});现在我们可以通过 curl 来添加以及显示任务列表：
> curl -X POST -H "Content-Type: application/json" --data '{"names": "Make a cake" }' http://10.10.0.10:8880/api/v1/addTask
{"response":"Added Make a cake to tasks."}
> curl http://10.10.0.10:8880/api/v1/getTasks
[{"id":7,"names":"Grocery shopping","created_at":"2016-05-12 06:18:46","updated_at":"2016-05-12 06:18:46"},{"id":8,"names":"Dry cleaning","created_at":"2016-05-12 06:18:52","updated_at":"2016-05-12 06:18:52"},{"id":13,"names":"Car wash","created_at":"2016-05-12 09:51:01","updated_at":"2016-05-12 09:51:01"},{"id":23,"names":"Make a cake","created_at":"2016-06-24 07:13:21","updated_at":"2016-06-24 07:13:21"}]“Make a cake” 任务以及创建了。现在让我们以非常快的速度来创建 10 个：
> for i in `seq 1 10`; do curl -X POST -H "Content-Type: application/json" --data '{"names": "Make a cake" }' http://10.10.0.10:8880/api/v1/addTask; done;这使我们可以在几毫秒内（约 638 毫秒）创建 10 个任务。如果没有频率限制，这很容易受到 DOS 攻击。
现在让我们使用 Laravel 内置的频率限制中间件来限制每分钟内请求/响应次数。使用 Throttling 中间件包裹我们的 API：
Route::group(['prefix' => 'api', 'middleware' => 'throttle:3,10'], function () {
...
});这将限制单个 IP 每 10 分钟内只能请求 3 次。当相同的 IP 再次请求 API 的时候，就会返回下面的响应：
... < X-RateLimit-Limit: 3 < X-RateLimit-Remaining: 0 < Retry-After: 599 ...
太多次的尝试。频率限制的关键是找到合适的平衡点。以我们的 TODO 应用为例，10 分钟请求 3 次显得太受限制了，我们可以修改为每分钟创建 3 个任务（默认是设置的 1 分钟，并且如果只设置 'middleware' => 'throttle'，将会是 10 次/分钟）：
Route::group(['prefix' => 'api', 'middleware' => 'throttle:3'], function () {
...
});使用 IP 以外的其他字段来做限制
许多机构和 ISP 使用 NAT’d 的解决方案。因此，如果仅因为某一个人滥用 API 而限制一组人的使用是不可取的。如果我们想使用 IP 以外的其他单位来做限制，只需要扩展 ThrottleRequests 类并覆盖方法 resolveRequestSignature() ：
protected function resolveRequestSignature($request)
{
if (! $request->route()) {
throw new RuntimeException('Unable to generate fingerprint. Route unavailable.');
}
return sha1(
implode('|', $request->route()->methods()).
'|'.$request->route()->domain().
'|'.$request->route()->uri().
'|'.$request->ip() // Replace this line
);
}以其他的字段来替换 $request->ip() 字段，例如，以 SessionId 作为唯一键来限制，添加：
$request->session()
或者使用通过请求传递的 user_id 来限制：
$request->input('user_id')或者甚至使用 API KEY：
$request->header(‘API-KEY’)
这里唯一的要求就是用户中是唯一的。
完。译自：cloudways.com
lara 2016/09/09 11:45
这个有办法限制这种的频率吗？ Route::get('/user/{id}', 'Web/IndexController@userDetail'); 根据id不同来限制的，有办法吗？请教一下，谢谢
Specs 2016/09/12 09:31
@ 这个可能得修改这个中间件了。或者自己在程序里判断，如果是某个 ID 就更新 Redis 里计数，超过就不让调用了。
lara 2016/09/12 15:42
@ 好的，谢谢了，现在看上去得修改一下的。