如何为前端应用设置AWS WAF速率限制规则阈值及计算逻辑？

一、如何合理设置速率限制阈值 #

AWS WAF的速率限制是基于单个请求源（默认是客户端IP）的单位时间请求数统计，而非全局总请求量，所以不用纠结5000用户的总调用量，核心关注单个合法用户的行为：

• 从正常用户行为出发：页面加载一次产生50次调用，假设极端场景下用户5分钟内最多刷新10次，单个IP的请求数为50×10=500。可以将阈值设为这个数值的1.5-2倍（比如750-1000），预留缓冲空间避免误拦截。
• 区分请求类型：如果规则覆盖所有请求（含静态资源），阈值可适当调高；如果仅针对敏感API（如登录、数据提交接口），可单独设置更低阈值（比如针对登录接口设为10次/分钟）。
• 先监控再调整：通过AWS CloudWatch监控WAF的请求指标，观察正常业务下单个IP的峰值请求数，再基于实际数据微调阈值，这是最稳妥的方式。

二、速率限制阈值的计算逻辑与未触发拦截的排查 #

阈值计算逻辑 #

AWS WAF速率限制的核心是**「聚合键+统计周期」**：

• 聚合键：默认是客户端IP，也可自定义（如用户ID、请求路径），规则会按这个维度统计请求数。
• 统计周期：可选1分钟、5分钟等，阈值是指「单个聚合键在该周期内的请求数上限」。比如你设置阈值100、周期5分钟，意思是同一个IP在5分钟内请求数超过100才会触发拦截，50次未达阈值自然不会拦截。

未触发拦截的常见原因 #

• 聚合键配置错误：如果规则不是按客户端IP聚合，而是按请求路径统计，50次调用分散到多个路径后，单个路径的请求数可能未达阈值。
• 规则匹配条件未覆盖测试请求：比如你的速率规则仅针对特定URI（如/api/*），但测试的是静态资源请求，自然不会触发。
• 规则优先级问题：如果速率限制规则的优先级低于其他允许请求的规则，请求会被提前放行，不会进入速率统计。
• 测试场景不符合：测试时需确保用同一个IP发起请求，且所有请求都符合规则的匹配条件（如HTTP方法、Header等）。

内容的提问来源于stack exchange，提问作者Bharadwaj