API gateway’ler, yüksek trafikli e-ticaret platformlarında performans ve güvenlik açısından kritik öneme sahiptir. Bu noktada, rate limiting (kısıtlama) mekanizması, aşırı veya kötü niyetli istekleri engelleyerek sistemin stabilitesini sağlar. Peki, bunu nasıl etkili biçimde kodlayabiliriz? İşte temel prensipler ve örnek uygulamalar.
İlk olarak, rate limiting'in temel mantığı, belirli bir süre içinde belirli bir IP veya kullanıcı başına yapılabilecek istek sayısını sınırlandırmaktır. Bu sınırı aşan istekler genellikle 429 Too Many Requests hatasıyla reddedilir. Bu mekanizmayı uygularken, genellikle aşağıdaki yaklaşımlar kullanılır:
- Token Bucket veya Leaky Bucket algoritmaları: Bu algoritmalar, istekleri belirli kurallara göre sıraya koyar ve limitleri kontrol eder. Basitlik açısından, çoğu durumda Redis gibi hızlı bir önbellek kullanılarak sayım tutulur.
- IP veya kullanıcı bazlı sınırlandırma: Kimlik doğrulama veya IP adresi ile sınır belirlenir. Örneğin, saatlik 1.000 istek sınırı koymak.
- Dinamik sınırlandırma: Trafik yoğunluğuna göre sınırları ayarlama veya kara liste uygulamaları.
Kodlama aşamasında, örneğin Node.js ve Express tabanlı bir API gateway’de Redis kullanarak rate limiting uygulaması şöyle olabilir:
123456789101112131415161718192021222324
const redis = require('redis');
const client = redis.createClient();
const rateLimitWindow = 60; // saniye cinsinden
const maxRequests = 1000; // sınır
app.use(async (req, res, next) => {
const ip = req.ip;
const key = [icode]rate_limit:${ip}[/icode];
const current = await client.getAsync(key);
if (current && parseInt(current) >= maxRequests) {
res.status(429).send('Çok fazla istek. Lütfen zaman içinde tekrar deneyin.');
return;
}
await client.multi()
.incr(key)
.expire(key, rateLimitWindow)
.exec();
next();
});
Burada, Redis'te IP bazlı anahtarlar tutulup, istek sayısı takip edilir ve sınırı aşılırsa uygun cevap verilir. Bu yöntem, yüksek performans ve esneklik sağlar.
Elbette, bu sistemin etkinliği, Redis performansına ve doğru yapılandırmaya bağlıdır. Ayrıca, API anahtarları veya kullanıcı kimlikleri bazında farklı sınırlar belirlemek, saldırıları önleme açısından önemlidir. Güvenli ve ölçeklenebilir bir rate limiting uygulaması için, bu temel yapıtaşlarını ihtiyaçlara göre uyarlamak gerekir.
Sizlerin de deneyimleri veya karşılaştığınız sorunlar var mı? Bu tür sınırlandırma mekanizmalarını nasıl optimize ediyorsunuz?
