Limitarea încercărilor eșuate cu BLOCKED

Total.js 5 · total5@0.0.19 securityrate-limiting Executată cu Total.js 5

BLOCKED($, limit, expiration) numără apelurile pe adresă IP. Returnează true când adresa a făcut mai mult de limit apeluri în intervalul de expirare (implicit: 5 apeluri în 15 minute) și undefined înainte. Apelează-l la începutul unui handler sensibil și oprește-te când returnează true. Ca să ierți o adresă după o autentificare reușită, apelează BLOCKED($, -1).

Contoarele trăiesc în memoria procesului; în spatele unui reverse proxy asigură-te că adresa reală a clientului ajunge la Total.js, altfel toți împart un singur contor.

controllers/login.js

exports.install = function() {
	ROUTE('POST /login/', login);
};

function login($) {

	if (BLOCKED($, 3, '1 minute')) {
		$.invalid(429);
		return;
	}

	if ($.body.password === 'correct') {
		BLOCKED($, -1);
		$.json({ ok: true });
	} else
		$.invalid(401);
}