Rate Limiting

Schritt-für-Schritt für Einsteiger

Voraussetzungen: Lesen Sie die beiden folgenden Einsteigerhandbücher, schließen Sie die lokale Web-Einrichtung ab und öffnen Sie dieses Monorepo im Stammverzeichnis in Ihrem Editor. Webeinstellungen gehören in apps/web/.env.local; Next.js liest das Stammverzeichnis .env nicht. /dashboard im Standard-Fake-Modus ist eine Demo ohne Datenbank; /auth benötigt eine migrierte Datenbank.

Kurze Begriffe: Ein Arbeitsbereich umfasst die einzelnen Benutzer, Daten und Einstellungen eines Teams. Der Server ist das vertrauenswürdige Backend; Halten Sie Anbieterschlüssel aus Browser- und Telefoncodes fern. Eine Migration ist eine versionierte Datenbankänderung, die Tabellen erstellt oder aktualisiert. Ein KI-Modell ist der Motor, der antwortet; Der Modellkatalog ist die Liste der verfügbaren Modell-IDs und Preise des Servers. Ein Anbieter ist ein externer Dienst wie ein KI-, E-Mail- oder Abrechnungsdienst. Eine Berechtigung ist eine Bewilligung, die einem Arbeitsbereich die Nutzung einer Funktion ermöglicht. Ein Webhook ist eine Nachricht, die ein Dienst an den URL eines anderen Dienstes sendet.

1. Wählen Sie in der Serverumgebung RATE_LIMIT_STORE=postgres für gemeinsam genutzte Produktions-Buckets und stellen Sie PUBLIC_AI_DAILY_BUDGET_MICROUNITS=0 so ein, dass die öffentliche KI deaktiviert bleibt.

2. Stellen Sie TRUSTED_PROXY_COUNT nur auf die genaue Anzahl der kontrollierten Proxys ein, die Weiterleitungsheader anhängen. Kopieren Sie 1 nicht, es sei denn, dies trifft auf Ihren Host zu.

3. Stellen Sie sicher, dass eine abgelehnte Anfrage einen Wiederholungsfehler zurückgibt. Wenn die Grenzwerte zwischen den Instanzen unterschiedlich sind, überprüfen Sie, ob sie Postgres gemeinsam haben.

Beginnen Sie für benutzerdefinierten Code mit dem bereitgestellten prompts/README.md und kopieren Sie die nächstgelegene Eingabeaufforderung: prompts/new-app-screen.md für einen App-Bildschirm oder prompts/new-landing-page.md für eine öffentliche Seite. Geben Sie Ihrem Programmieragenten für Server-, Datenbank- oder Anbieterarbeiten die Aufgabe dieses Handbuchs und bitten Sie ihn, AGENTS.md, .ai/PROJECT_CONTEXT.md und passende .ai/-Spiegel zu lesen; Überprüfen Sie die hier genannten genauen Quelldateien. Listen Sie Dateien auf und prüfen Sie sie vor der Bearbeitung. Bewahren Sie den Arbeitsbereichseigentum und die Nur-Server-Geheimnisse. und zeige dir den Unterschied. Teilen Sie ihm das gewünschte Verhalten, Eingabe- und Ausgabefelder, zulässige Rollen, erwartete Erfolge und Fehler sowie das Testkonto, den Anbieter oder das Gerät mit. Beispielwerte verwenden; Fügen Sie niemals ein echtes Geheimnis ein.

• Bevor Sie beginnen
• Terminal-Grundlagen
• Lokales Web-Setup
• Agentenaufforderungen und Projektspeicher

Speicher für Rate Limits auswählen

RATE_LIMIT_STORE ist entweder memory oder postgres. Wenn der Wert nicht gesetzt ist, wählt die Produktion Postgres und andere Umgebungen wählen Memory. Gemeinsame Zeilen in rate_limit_bucket koordinieren mehrere Server; bei Speicherausfällen wird derzeit offen fehlgeschlagen, um die API-Verfügbarkeit zu erhalten.

Limits für Workspace-/Benutzer-KI-Einreichungen und das Rate Limit der öffentlichen API/MCP schützen getrennte Oberflächen. Bewahre beim Hinzufügen von Routen die vorhandenen Bucket-Schlüssel pro Aufrufer bei.

Nur kontrollierten Proxy-Hops vertrauen

TRUSTED_PROXY_COUNT liegt zwischen 0 und 10 und zählt Reverse-Proxys, die x-forwarded-for anhängen. Null vertraut keinem Proxy und verwendet ein gemeinsames unbekanntes Bucket; bei einem kontrollierten Proxy ist typischerweise 1 nötig. Eine falsche Anzahl erlaubt nicht vertrauenswürdigen weitergeleiteten Werten, das Rate Limit zu beeinflussen.

Ausgaben für anonyme Provider begrenzen

PUBLIC_AI_DAILY_BUDGET_MICROUNITS=0 deaktiviert öffentliche KI-Aufrufe. Eine konfigurierte, nichtnegative tägliche UTC-Obergrenze reserviert Plattformbudget vor Provider-Aufrufen und ist vom Budget jedes Workspace getrennt. Teste parallele Reservierungen, Grenzen beim Zurücksetzen und die Ablehnung vor jedem kostenpflichtigen Provider-Aufruf.

RATE_LIMIT_STORE=postgres
TRUSTED_PROXY_COUNT=1
PUBLIC_AI_DAILY_BUDGET_MICROUNITS=0

Einrichtung und Konfiguration

rate-limit-runtime stellt geteilte Limiter bereit, die in die missbrauchsanfälligen Flächen verdrahtet sind — apiV1Limiter (600 Anfragen/Minute) und authLimiter (300 Anfragen/Minute) sind die ausgelieferten Presets. Limits keyen auf Identität plus Route-Bucket und antworten mit einem retrybaren 429 samt Retry-After statt einem generischen Fehler.

Erweitere den bestehenden Limiter auf neue missbrauchsanfällige Endpunkte — Sign-in, OTP, Checkout, Task-Submission, Key-Erstellung — statt pro Route eigene Zähler zu erfinden, die auseinanderdriften.

export const apiV1Limiter = createNamedRateLimiter("api-v1", 600, 60_000);
export const authLimiter = createNamedRateLimiter("auth", 300, 60_000);

Implementierungsablauf

Wähle den Key sorgfältig: pro Nutzer für authentifizierte Aktionen, pro API-Key für öffentlichen Traffic, pro IP nur als letzte Instanz für anonyme Endpunkte. Legitime Bursts bekommen ein Retry-After; Angriffe treffen auf eine harte Obergrenze.

Halte den Limiter auf missbrauchsanfälligen Routen fail-closed — ist der Store unerreichbar, lehne lieber teure Arbeit ab, als sie unbegrenzt durchzulassen.

Überprüfung und Fehlerbehebung

Reize einen Limiter, bis er 429 mit sinnvollem Retry-After liefert, verifiziere unabhängige Buckets pro Workspace und bestätige, dass ein Burst nach dem Fenster wieder erfolgreich ist. Logge Ablehnungen ohne sensitive Payloads des Requests.