Obmedz neúspešné pokusy cez BLOCKED

Total.js 5 · total5@0.0.19 securityrate-limiting Spustené s Total.js 5

BLOCKED($, limit, expiration) počíta volania podľa IP adresy. Vráti true, keď adresa urobila viac ako limit volaní v rámci expirácie (predvolene: 5 volaní za 15 minút), a predtým undefined. Zavolaj ho na začiatku citlivého handlera a skonči, ak vráti true. Na odpustenie adrese po úspešnom prihlásení zavolaj BLOCKED($, -1).

Počítadlá žijú v pamäti procesu; za reverzným proxy zabezpeč, aby sa k Total.js dostala skutočná adresa klienta, inak budú mať všetci jedno počítadlo.

controllers/login.js

exports.install = function() {
	ROUTE('POST /login/', login);
};

function login($) {

	if (BLOCKED($, 3, '1 minute')) {
		$.invalid(429);
		return;
	}

	if ($.body.password === 'correct') {
		BLOCKED($, -1);
		$.json({ ok: true });
	} else
		$.invalid(401);
}