mirror of
https://github.com/Wei-Shaw/sub2api.git
synced 2026-10-15 23:22:59 +08:00
shaw
fead4c7ec3
用户可高频刷面板接口（usage/dashboard 等重聚合查询）直接打爆数据库：
现有限流器只覆盖登录/注册等公开认证入口，登录后的全部面板端点无任何限流。
三层防护（阈值均可在后台可视化配置，panel_rate_limit_settings）：
1. 认证面板接口按「用户 ID」限流，与来源 IP 无关——反向代理/NAT 共享出口
（所有请求源地址坍缩为 127.0.0.1 等）不会互相误伤：
- Global 档（默认 240 rpm/账号）：user/auth/payment/admin 全部登录后路由
- Heavy 档（默认 60 rpm/账号）：/usage、/usage/dashboard/*、
/user/api-keys/:id/usage/daily 等重 SQL 聚合端点叠加计数
- 管理员默认豁免（可关闭）
2. 无认证公开接口（/api/v1/settings/*，每次请求都查 DB）按安全客户端 IP
限流（默认 300 rpm/IP）；回环/私网/链路本地地址（反代内部转发地址）
一律跳过计数，杜绝把整条反代链路合并进同一个桶造成大面积误拦截。
3. 修复既有隐患：auth 入口限流的 IP 取值从 c.ClientIP() 切换到与审计日志/
会话绑定/API Key ACL 同源的安全客户端 IP 解析（尊重后台「信任反代转发
IP」开关快照）。原实现下默认反代部署（未配置 server.trusted_proxies）
所有用户共享同一个登录限流桶，既会全员误拦也可被单人恶意占满形成登录
DoS；开关关闭时行为与原来完全一致。
工程约束：
- 配置热路径走进程内缓存（atomic.Value + singleflight，60s TTL），
限流中间件零 DB 访问；保存后当前节点立即生效
- 面板限流 Redis 故障 fail-open（auth 入口保持原有 fail-close）
- 429 响应携带 Retry-After；错误码 RATE_LIMITED
- 支付 webhook / 公开支付回调有意不挂限流
- 新增 GET/PUT /api/v1/admin/settings/panel-rate-limit；设置页安全 tab
新增「面板接口限流」卡片（zh/en i18n 全量）
测试：rate_limiter/panel_rate_limit/setting_panel_rate_limit 单测全绿；
routes、handler/admin、-tags unit 契约测试通过；前端 vue-tsc/ESLint/
SettingsView spec（26/26，含新增交互用例）/i18n 守卫全部通过。
74 lines
1.7 KiB
Go
74 lines
1.7 KiB
Go
package routes
|
|
|
|
import (
|
|
"net/http"
|
|
"net/http/httptest"
|
|
"strings"
|
|
"testing"
|
|
"time"
|
|
|
|
"github.com/Wei-Shaw/sub2api/internal/handler"
|
|
servermiddleware "github.com/Wei-Shaw/sub2api/internal/server/middleware"
|
|
"github.com/gin-gonic/gin"
|
|
"github.com/redis/go-redis/v9"
|
|
"github.com/stretchr/testify/require"
|
|
)
|
|
|
|
func newAuthRoutesTestRouter(redisClient *redis.Client) *gin.Engine {
|
|
gin.SetMode(gin.TestMode)
|
|
router := gin.New()
|
|
v1 := router.Group("/api/v1")
|
|
|
|
RegisterAuthRoutes(
|
|
v1,
|
|
&handler.Handlers{
|
|
Auth: &handler.AuthHandler{},
|
|
Setting: &handler.SettingHandler{},
|
|
},
|
|
servermiddleware.JWTAuthMiddleware(func(c *gin.Context) {
|
|
c.Next()
|
|
}),
|
|
servermiddleware.AuditLogMiddleware(func(c *gin.Context) {
|
|
c.Next()
|
|
}),
|
|
redisClient,
|
|
nil,
|
|
nil,
|
|
)
|
|
|
|
return router
|
|
}
|
|
|
|
func TestAuthRoutesRateLimitFailCloseWhenRedisUnavailable(t *testing.T) {
|
|
rdb := redis.NewClient(&redis.Options{
|
|
Addr: "127.0.0.1:1",
|
|
DialTimeout: 50 * time.Millisecond,
|
|
ReadTimeout: 50 * time.Millisecond,
|
|
WriteTimeout: 50 * time.Millisecond,
|
|
})
|
|
t.Cleanup(func() {
|
|
_ = rdb.Close()
|
|
})
|
|
|
|
router := newAuthRoutesTestRouter(rdb)
|
|
paths := []string{
|
|
"/api/v1/auth/register",
|
|
"/api/v1/auth/login",
|
|
"/api/v1/auth/login/2fa",
|
|
"/api/v1/auth/send-verify-code",
|
|
"/api/v1/auth/oauth/pending/send-verify-code",
|
|
}
|
|
|
|
for _, path := range paths {
|
|
req := httptest.NewRequest(http.MethodPost, path, strings.NewReader(`{}`))
|
|
req.Header.Set("Content-Type", "application/json")
|
|
req.RemoteAddr = "203.0.113.10:12345"
|
|
|
|
w := httptest.NewRecorder()
|
|
router.ServeHTTP(w, req)
|
|
|
|
require.Equal(t, http.StatusTooManyRequests, w.Code, "path=%s", path)
|
|
require.Contains(t, w.Body.String(), "rate limit exceeded", "path=%s", path)
|
|
}
|
|
}
|