Begränsa misslyckade försök med BLOCKED

Total.js 5 · total5@0.0.19 securityrate-limiting Körd med Total.js 5

BLOCKED($, limit, expiration) räknar anrop per IP-adress. Den returnerar true när adressen har gjort fler än limit anrop inom utgångstiden (standard: 5 anrop på 15 minuter), och undefined innan dess. Anropa den i början av en känslig handler och avbryt när den returnerar true. För att förlåta en adress efter en lyckad inloggning anropar du BLOCKED($, -1).

Räknarna lever i processens minne; bakom en reverse proxy ska du se till att klientens riktiga adress når Total.js, annars delar alla på en räknare.

controllers/login.js

exports.install = function() {
	ROUTE('POST /login/', login);
};

function login($) {

	if (BLOCKED($, 3, '1 minute')) {
		$.invalid(429);
		return;
	}

	if ($.body.password === 'correct') {
		BLOCKED($, -1);
		$.json({ ok: true });
	} else
		$.invalid(401);
}