从项目里抽了个 Node.js rate limiter 出来，基于 Redis sorted set，支持多窗口限频

[vilic]

项目地址 https://github.com/vilic/rateman

import ms from 'ms';
import {RateLimiter, RateLimitExceededError} from 'rateman';

const rateLimiter = new RateLimiter({
  name: 'user',
  windows: [
    {span: ms('1m'), limit: 10},
    {span: ms('1h'), limit: 100},
  ],
});

try {
  await rateLimiter.attempt('<user id>');
} catch (error) {
  if (error instanceof RateLimitExceededError) {
    // ...
  }
}

Express

app.use((req, _res, next) => {
  const ip = req.headers['x-forwarded-for'] || req.ip;

  void rateLimiter.attempt(ip).then(
    () => next(),
    error => next(error),
  );
});

[mywaiting]

刚好项目有用到类似的实现，帮顶~

翻了一遍限流的实现，最后还是自己用 TokenBucket/令牌桶 搞定了

基于时间的限流都有掐时间点超过并发限制的缺点，只能按 windows 划分时间间隔，并且要求窗口时间间隔尽量小，不过基于时间的限流代码逻辑简单，容易理解，算是其优点

另，限流这事情，建议尽量不要在 JS App 里搞，建议前端丢个 nginx/traefik 甚至 kong 这样的，会方便很多

[vilic]

@mywaiting 谢谢，不过为啥掐时间点算缺点😂。多窗口应该不存在要时间间隔尽量小的问题？还是我没理解到你的意思。

[edward1987]

大概看了下思路，是用 sorted set 保存每次请求，然后根据时间窗口去判断请求数量？
我有个想法，感觉用 list 就能实现，每次请求就把当前时间戳 push 进去，
比如窗口设定是 {span: ms('1m'), limit: 10},
判断的时候 只要 redis.lindex(key,10) 拿到前面第十个请求的时间戳，判断下时间是不是一分钟内，如果是一分钟内 那就超出窗口限制。 （不过这个方案在并发高的情况会有误差，塞进去的顺序不完全序）

[vilic]

@edward1987 因为代码历史久远（虽然刚抽出来），具体当时为啥选了 sorted set 我也忘记了。可能是为了方便删除特定时间以前的？你这个感觉 multiplier 为 1 的时候应该好多了，> 1 的时候应该也不差（现在是取出后 js 处理，换成这个应该是 push 的时候处理）。那个误差应该不重要。空了我试试。