在构建高并发的Web应用时，保护后端服务免受恶意请求冲击是架构设计中不可或缺的一环。请求频率限制不仅能防止DDoS攻击和暴力破解，还能避免因个别客户端的异常行为导致整个系统资源被耗尽。在Node.js生态中，Express框架凭借其灵活的中间件机制，为实现复杂的限流策略提供了极大的便利。然而，单一的限流维度往往难以覆盖实际业务中的复杂场景，我们需要更精细的控制手段。
理解请求频率限制的核心算法与维度选择
在具体编码之前，我们需要先理清限流背后的算法逻辑。常见的限流算法包括固定窗口计数器、滑动窗口日志、漏桶算法和令牌桶算法。固定窗口算法实现简单但存在临界点流量突增问题；滑动窗口解决了突增问题但内存消耗较高；漏桶算法能平滑流量但无法应对合理的突发请求；令牌桶算法则允许一定程度的突发流量，是大多数业务场景下的首选。在Express应用中，我们通常不需要手写这些底层算法，而是借助成熟的中间件来实现。
确定了算法之后，限流维度的选择同样至关重要。最基础的维度是IP地址。IP限流配置简单，能够有效拦截同一网络环境下的恶意扫描和爬虫。但在现代云原生架构下，大量用户隐藏在NAT网关之后，共享同一个公网IP。如果仅使用IP限流，一旦某个用户频繁请求，就会导致整个公司或校园网内的其他正常用户被限流封禁。
相比之下，用户ID维度则更加精准。通过解析JWT令牌或Session，我们可以定位到具体的操作者。这种方式不会误伤共享IP的其他用户，但前提是请求必须经过认证。如果攻击者未登录直接发起请求，或者通过某种方式伪造了大量账号，用户ID限流就会显得力不从心。因此，将IP维度与用户维度结合，构建复合限流策略，才是保障系统安全的最佳实践。
基于Express中间件实现IP维度限流
在Node.js的Express框架中，实现IP限流最便捷的方式是使用express-rate-limit中间件。该中间件底层采用了内存存储来记录请求计数，并提供了丰富的配置项。首先，我们需要在项目中安装这个依赖包。通过npm install express-rate-limit命令即可完成安装。
接下来，我们可以在Express应用中引入并配置这个中间件。通常我们会将其挂载到特定的API路由上，而不是全局应用，以避免影响静态资源或其他公开接口的正常访问。以下是一个基础的IP维度限流配置示例。
const express = require('express');
const rateLimit = require('express-rate-limit');
const app = express();
// 配置IP限流规则
const ipLimiter = rateLimit({
windowMs: 15 * 60 * 1000, // 15分钟的时间窗口
max: 100, // 每个IP在时间窗口内最多允许100次请求
message: {
success: false,
message: '请求过于频繁，请稍后再试'
},
standardHeaders: true,
legacyHeaders: false
});
// 仅对API路由应用限流
app.use('/api/', ipLimiter);
app.listen(3000, () => {
console.log('服务器已启动，监听端口3000');
});需要特别注意的是，当你的Node.js服务部署在Nginx等反向代理之后时，Express默认获取到的IP地址可能是代理服务器的IP，而不是真实客户端的IP。这会导致所有限流规则对全局生效，而不是针对单个客户端。为了解决这个问题，必须设置app.set('trust proxy', 1)，让Express信任代理头中的X-Forwarded-For字段，从而正确解析出客户端的真实IP地址。
进阶实践：融合用户ID维度的精细化限流
实现了IP限流之后，我们需要进一步引入用户维度。对于需要用户登录才能访问的接口，我们可以从请求头中的Authorization字段提取JWT，或者从Session中获取用户ID。express-rate-limit中间件提供了一个非常强大的配置项keyGenerator，允许我们自定义限流的唯一标识。我们可以利用这个特性，将IP和用户ID结合起来。
如果请求中携带了有效的用户标识，我们就以用户ID作为限流key；如果未携带或无效，则降级使用IP地址作为限流key。这样既能对已登录用户进行精细化管理，也能对未登录的匿名请求进行有效拦截。下面是具体的代码实现逻辑。
const express = require('express');
const rateLimit = require('express-rate-limit');
const app = express();
app.use(express.json());
// 模拟解析用户ID的函数
function extractUserId(req) {
// 实际项目中这里应该解析JWT或验证Session
const authHeader = req.headers.authorization;
if (authHeader && authHeader.startsWith('Bearer ')) {
// 假设解析出的用户ID为user123
return 'user123';
}
return null;
}
// 复合维度限流配置
const apiLimiter = rateLimit({
windowMs: 15 * 60 * 1000,
max: 200, // 登录用户拥有更高的配额
keyGenerator: (req, res) => {
const userId = extractUserId(req);
if (userId) {
return `user:${userId}`; // 用户维度限流
}
return `ip:${req.ip}`; // 降级为IP维度限流
},
handler: (req, res) => {
res.status(429).json({
success: false,
message: '您的访问频率过高，请稍后再试'
});
}
});
app.use('/api/data', apiLimiter);
app.post('/api/data', (req, res) => {
res.json({ success: true, data: '业务数据' });
});
app.listen(3000, () => console.log('服务运行中'));在生产环境中，如果你的应用部署了多个实例，使用默认的内存存储会导致每个实例各自维护一份计数器，限流效果将大打折扣。此时，我们需要将限流状态存储到集中式的缓存中，比如Redis。express-rate-limit支持通过rate-limit-redis等扩展库将存储后端切换为Redis。这样，无论请求被负载均衡分配到哪台服务器，都能共享同一份限流计数状态，确保限流策略的准确执行。同时，针对不同等级的用户，我们还可以在代码中动态调整max参数，比如普通用户限制为100次，VIP用户限制为500次，从而实现更灵活的业务逻辑。