> ## Documentation Index
> Fetch the complete documentation index at: https://supastack.dev/llms.txt
> Use this file to discover all available pages before exploring further.
> For the full documentation corpus in one file, fetch: https://supastack.dev/llms-full.txt

# Ограничение частоты

Один лимитер для каждого чувствительного к злоупотреблениям маршрута.

## Прохождение для начинающих

Предварительные требования: прочтите два приведенных ниже руководства для начинающих, завершите локальную веб-настройку и откройте этот монорепозиторий в корневой папке вашего редактора. Веб-настройки принадлежат `apps/web/.env.local`; Next.js не читает корень `.env`. `/dashboard` в поддельном режиме по умолчанию представляет собой демонстрацию без базы данных; `/auth` требуется перенесенная база данных.

Вкратце: рабочее пространство — это отдельные пользователи, данные и настройки одной команды. Сервер является доверенным сервером; не допускайте попадания ключей провайдера в код браузера и телефона. Миграция — это изменение версии базы данных, при котором создаются или обновляются таблицы. Модель ИИ — это механизм, который отвечает; Каталог моделей — это список доступных идентификаторов моделей и цен на сервере. Поставщик — это внешняя служба, такая как служба искусственного интеллекта, электронной почты или службы выставления счетов. Право — это грант, который позволяет рабочей области использовать функцию. Вебхук — это сообщение, которое одна служба отправляет на URL другой службы.

1. В среде сервера выберите `RATE_LIMIT_STORE=postgres` для общих производственных сегментов и настройте `PUBLIC_AI_DAILY_BUDGET_MICROUNITS=0`, чтобы отключить общедоступный искусственный интеллект.

2. Установите `TRUSTED_PROXY_COUNT` только на точное количество контролируемых прокси-серверов, которые добавляют заголовки пересылки; не копируйте `1`, если это не относится к вашему хосту.

3. Убедитесь, что отклоненный запрос возвращает ошибку с возможностью повторной попытки. Если ограничения в разных экземплярах различаются, убедитесь, что они используют общий Postgres.

Для пользовательского кода начните с предоставленного `prompts/README.md` и скопируйте ближайшее приглашение: `prompts/new-app-screen.md` для экрана приложения или `prompts/new-landing-page.md` для общедоступной страницы. Для работы с сервером, базой данных или провайдером дайте своему агенту кодирования задание из этого руководства и попросите его прочитать `AGENTS.md`, `.ai/PROJECT_CONTEXT.md` и соответствующие зеркала `.ai/`; проверьте точные исходные файлы, указанные здесь; список файлов и проверки перед редактированием; сохранять права собственности на рабочую область и секреты, доступные только серверу; и покажу вам разницу. Сообщите ему желаемое поведение, поля ввода и вывода, разрешенные роли, ожидаемые успехи и ошибки, а также тестовую учетную запись, поставщика или устройство. Используйте выборочные значения; никогда не вставляйте настоящий секрет.

[Прежде чем начать](https://supastack.dev/ru/docs/web/before-you-start.md)

[Основные сведения о терминале](https://supastack.dev/ru/docs/web/terminal-basics.md)

[Локальная веб-настройка](https://supastack.dev/ru/docs/web/ship-in-5-minutes.md)

[Подсказки агента и память проекта](https://supastack.dev/ru/docs/web/agents.md)


## Выберите магазин ограничителя

`RATE_LIMIT_STORE` — это память или postgres. Если этот параметр не установлен, рабочая среда выбирает Postgres, а другие среды выбирают память. Общие строки `rate_limit_bucket` координируют несколько серверов; сбои хранилища в настоящее время не открываются, чтобы сохранить доступность API.

Ограничения на отправку ИИ в рабочей области/пользователе и общедоступный ограничитель API/MCP защищают отдельные поверхности. Сохраняйте существующие ключи сегмента для конкретного вызывающего абонента при добавлении маршрутов.


## Доверяйте только контролируемым прокси-хопам

`TRUSTED_PROXY_COUNT` находится в диапазоне от 0 до 10 и учитывает обратные прокси, к которым добавляется `x-forwarded-for`. Ноль никому не доверяет и использует общую неизвестную корзину; одному контролируемому прокси-серверу обычно требуется 1. Неправильный счетчик позволяет ненадежным пересылаемым значениям влиять на ограничитель.


## Ограничьте расходы анонимного провайдера

`PUBLIC_AI_DAILY_BUDGET_MICROUNITS=0` отключает публичные вызовы ИИ. Настроенное неотрицательное ежедневное ограничение UTC резервирует расходы платформы до звонка поставщика и не зависит от бюджета каждого рабочего пространства. Протестируйте одновременное резервирование, сбросьте границы и запретите попытку, прежде чем предпринимать какие-либо попытки со стороны оплачиваемого поставщика.

```
RATE_LIMIT_STORE=postgres
TRUSTED_PROXY_COUNT=1
PUBLIC_AI_DAILY_BUDGET_MICROUNITS=0
```


## Настройка и конфигурация

rate-limit-runtime предоставляет общие лимитеры, подключённые к чувствительным к злоупотреблениям поверхностям, — apiV1Limiter (600 запросов/минуту) и authLimiter (300 запросов/минуту) это поставляемые пресеты. Лимиты ключируются по идентичности плюс корзине маршрута и отвечают повторяемым 429 с Retry-After вместо общей ошибки.

Расширяйте существующий лимитер на новые чувствительные к злоупотреблениям эндпоинты — вход, OTP, чекаут, отправка задач, создание ключей — вместо изобретения разъезжающихся счётчиков на маршрут.

```
export const apiV1Limiter = createNamedRateLimiter("api-v1", 600, 60_000);
export const authLimiter = createNamedRateLimiter("auth", 300, 60_000);
```


## Рабочий процесс внедрения

Выбирайте ключ аккуратно: на пользователя для аутентифицированных действий, на API-ключ для публичного трафика, на IP только как последнее средство для анонимных эндпоинтов. Легитимные всплески получают Retry-After; атаки упираются в жёсткий потолок.

Держите лимитер fail-closed на чувствительных к злоупотреблениям маршрутах — если хранилище недоступно, предпочитайте отклонять дорогую работу, а не пропускать её безгранично.


## Проверка и устранение неполадок

Нагружайте лимитер, пока он не вернёт 429 с разумным Retry-After, проверьте, что разные workspace получают независимые корзины, и подтвердите, что после окна всплеск возвращается к успеху. Логируйте отказы без чувствительной полезной нагрузки запроса.


## Вперёд

[AI и фоновые задачи](https://supastack.dev/ru/docs/modules/ai.md)