レートリミット#

**ルートに宣言します。**書いたところにだけかかります。

// 1本だけ
post("/api/login", handler)
	.attribute(RateLimit.KEY, RateLimit.perIp(5, Duration.ofMinutes(1)));

// このブロック全部
path("/api", () -> {
	rateLimit(RateLimit.perIp(60, Duration.ofMinutes(1)));

	get("/items", handler);
	get("/items/{id}", handler);
});

before と同じで書いたブロックに付きます（パスのノードではありません）。 内側に別のものを書けば内側が勝ち、ルートが属性で持っていればそれが勝ちます。

数え方#

トークンバケットです。duration かけて limit 個まで戻ります。 短いバーストは通り、続けて叩くと止まります。

数える単位#

RateLimit.perIp(60, Duration.ofMinutes(1));                       // 送信元ごと
RateLimit.of(context -> context.session().id(), 10, Duration.ofMinutes(1));   // ログインごと

社内からのアクセスなど、数えたくないものは外せます。

RateLimit.perIp(60, Duration.ofMinutes(1))
	.exclude(context -> context.request().proxyAddress().startsWith("10."));

止めたときに返るもの#

**before より前で止めます。**認証や DB を触らせないためです。

置き場#

rate_limit {
	store   = "memory"   # memory | redis | db
	enabled = true
}