Limitar tentativas falhadas com BLOCKED

Total.js 5 · total5@0.0.19 securityrate-limiting Executada com o Total.js 5

BLOCKED($, limit, expiration) conta chamadas por endereço IP. Devolve true quando o endereço fez mais de limit chamadas dentro da expiração (por omissão: 5 chamadas em 15 minutos), e undefined antes disso. Chame-o no início de um handler sensível e pare quando devolver true. Para perdoar um endereço após um login bem-sucedido, chame BLOCKED($, -1).

Os contadores vivem na memória do processo; atrás de um proxy inverso, garanta que o endereço real do cliente chega ao Total.js, caso contrário todos partilham um único contador.

controllers/login.js

exports.install = function() {
	ROUTE('POST /login/', login);
};

function login($) {

	if (BLOCKED($, 3, '1 minute')) {
		$.invalid(429);
		return;
	}

	if ($.body.password === 'correct') {
		BLOCKED($, -1);
		$.json({ ok: true });
	} else
		$.invalid(401);
}