Rails技术问题：如何对Devise的注册与密码重置做限流？

一、通用核心策略 #

行业里处理这类需求的思路基本统一：

• 注册环节：基于IP地址做频次限制，比如30分钟内最多10次请求，超过则拦截，防止批量创建垃圾账号
• 密码重置环节：基于目标邮箱做频次限制，比如30分钟内仅允许发送1次重置邮件，避免恶意刷邮箱

二、不同存储方案的对比选型 #

Redis（首选方案） #

• 自带键过期特性，不用手动清理过期数据，性能拉满，高并发场景下表现最佳
• 实现逻辑简单，用INCR计数+EXPIRE设置过期时间就能搞定

PostgreSQL #

• 适合已经用PG做主数据库的项目，需要单独建表（比如rate_limits）存储限流记录，字段包含类型（注册/重置）、标识（IP/邮箱）、请求次数、过期时间
• 缺点是要定时清理过期数据，并发写入时需要加锁，性能不如Redis

内存存储 #

• 只适合单实例部署的小型测试应用，服务重启后数据直接丢失，没法跨实例共享限流状态，生产环境绝对不推荐

三、Redis实现示例 #

注册限流（重写RegistrationsController） #

class RegistrationsController < Devise::RegistrationsController
  before_action :rate_limit_registration, only: [:create]

  private

  def rate_limit_registration
    ip = request.remote_ip
    key = "registration:#{ip}"
    request_count = Redis.current.incr(key)

    # 第一次请求时设置过期时间
    Redis.current.expire(key, 30.minutes.to_i) if request_count == 1

    if request_count > 10
      render json: { error: "注册请求太频繁，请30分钟后再试" }, status: :too_many_requests
      return
    end
  end
end

密码重置限流（重写PasswordsController） #

class PasswordsController < Devise::PasswordsController
  before_action :rate_limit_password_reset, only: [:create]

  private

  def rate_limit_password_reset
    email = params[:user][:email]
    key = "password_reset:#{email}"

    if Redis.current.exists?(key)
      render json: { error: "密码重置邮件已发送，请30分钟后再试" }, status: :too_many_requests
      return
    end

    # 设置30分钟过期
    Redis.current.setex(key, 30.minutes.to_i, "locked")
  end
end

四、额外优化点 #

• 别只靠IP限流，搭配验证码能进一步防绕过，比如攻击者用代理IP批量请求
• 拦截时返回标准的429 Too Many Requests状态码，符合HTTP规范
• 后台加个监控，统计限流触发次数，能及时发现异常攻击行为

内容的提问来源于stack exchange，提问作者squeezeitthroughthekeyhole