Ograniczanie nieudanych prób przez BLOCKED

Total.js 5 · total5@0.0.19 securityrate-limiting Uruchomiono z Total.js 5

BLOCKED($, limit, expiration) liczy wywołania na adres IP. Zwraca true, gdy adres wykonał więcej niż limit wywołań w czasie wygaśnięcia (domyślnie: 5 wywołań w 15 minut), a wcześniej undefined. Wywołaj go na początku wrażliwego handlera i zatrzymaj się, gdy zwróci true. Aby przebaczyć adresowi po udanym logowaniu, wywołaj BLOCKED($, -1).

Liczniki żyją w pamięci procesu; za reverse proxy upewnij się, że do Total.js dociera prawdziwy adres klienta, inaczej wszyscy dzielą jeden licznik.

controllers/login.js

exports.install = function() {
	ROUTE('POST /login/', login);
};

function login($) {

	if (BLOCKED($, 3, '1 minute')) {
		$.invalid(429);
		return;
	}

	if ($.body.password === 'correct') {
		BLOCKED($, -1);
		$.json({ ok: true });
	} else
		$.invalid(401);
}