レート制限の実装

目次

• 概要
• 使用する場合
• クイックスタート
• リファレンスガイド
• ベストプラクティス

概要

レート制限とスロットリングメカニズムを実装して、サービスを不正利用から保護し、ユーザー間で公平なリソース配分を確保し、負荷下でシステムの安定性を維持します。

使用する場合

• 公開APIの不正利用からの保護
• DOS/DDOS攻撃の防止
• ユーザー間での公平なリソース使用の確保
• APIクォータと課金階層の実装
• システム負荷とバックプレッシャーの管理
• SLA制限の実施
• サードパーティAPI使用の制御
• データベース接続管理

クイックスタート

最小限の動作例：

interface TokenBucketConfig {
  capacity: number;
  refillRate: number; // tokens per second
  refillInterval: number; // milliseconds
}

class TokenBucket {
  private tokens: number;
  private lastRefill: number;
  private readonly capacity: number;
  private readonly refillRate: number;
  private readonly refillInterval: number;
  private refillTimer?: NodeJS.Timeout;

  constructor(config: TokenBucketConfig) {
    this.capacity = config.capacity;
    this.tokens = config.capacity;
    this.refillRate = config.refillRate;
    this.refillInterval = config.refillInterval;
    this.lastRefill = Date.now();

    this.startRefill();
  }

  private startRefill(): void {
// ... (全実装についてはリファレンスガイドを参照)

リファレンスガイド

references/ ディレクトリ内の詳細な実装：

ベストプラクティス

✅ すべきこと

• マルチサーバーデプロイメント用に分散レート制限を使用する
• 複数のレート制限階層を実装する（1秒あたり、1分あたり、1時間あたり、1日あたり）
• 適切なHTTPステータスコード（429 Too Many Requests）を返す
• レスポンスにRetry-Afterヘッダーを含める
• レート制限違反をログに記録して監視する
• グレースフルデグラデーションを実装する
• Redisまたは同様のシステムを永続化に使用する
• コストベースのレート制限を検討する（高コスト操作はより多くコストがかかる）
• 正当なトラフィックスパイク用にバースト許容量を実装する
• 制限についての明確なAPI ドキュメントを提供する

❌ してはいけないこと

• 分散システム用にアプリケーションメモリにレート制限データを保存する
• エッジケースを考慮しない固定ウィンドウカウンターを使用する
• 期限切れデータのクリーンアップを忘れる
• 1人の悪質なアクターのせいでIPからのすべてのリクエストをブロックする
• 正当な使用には制限が厳しすぎるように設定する
• レート制限がユーザー体験に与える影響を無視する
• レート制限器が失敗したときにフェイルクローズ（すべてを拒否）する