如何在express-rate-limit中动态设置windowMs与max值？超限无提示问题

核心问题 #

你的代码存在两个致命问题，导致限流逻辑完全不生效：

1. 每次请求创建新的rateLimit实例：limitMiddleware每次被调用都会返回一个全新的rateLimit实例，每个实例的限流计数独立维护，根本无法累计用户的请求次数，自然不会触发限制。
2. 初始化阶段无法获取req.body参数：rateLimit的配置参数（windowMs、max）是在实例创建时确定的，此时请求还未进入处理流程，req.body为undefined，相当于没有设置任何有效限流规则。

修正方案 #

由于你需要通过请求体动态设置windowMs和max，而express-rate-limit的默认实例化方式不支持动态调整窗口时长，因此需要手动实现基于请求参数的限流逻辑：

自定义限流中间件（内存存储版） #

const userRequestRecords = new Map(); // 存储用户请求记录：key为userId，value为{ count: 请求次数, expireTime: 窗口过期时间 }

const limitMiddleware = (req, res, next) => {
    // 提取请求参数
    const { timeLimit, messageLimit } = req.body;
    const userId = req.query.userId;

    // 参数合法性校验
    if (!userId) {
        return res.status(400).json({ message: "缺少userId参数" });
    }
    if (!timeLimit || !messageLimit || typeof timeLimit !== 'number' || typeof messageLimit !== 'number') {
        return res.status(400).json({ message: "timeLimit和messageLimit必须为合法数字" });
    }

    const now = Date.now();
    const currentRecord = userRequestRecords.get(userId);

    if (currentRecord) {
        // 检查是否在限流窗口有效期内
        if (now < currentRecord.expireTime) {
            currentRecord.count += 1;
            // 判断是否超过请求次数上限
            if (currentRecord.count > messageLimit) {
                return res.status(429).json({ message: "You have exceeded your request limit." });
            }
        } else {
            // 窗口过期，重置请求记录
            userRequestRecords.set(userId, { count: 1, expireTime: now + timeLimit });
        }
    } else {
        // 用户首次请求，初始化记录
        userRequestRecords.set(userId, { count: 1, expireTime: now + timeLimit });
    }

    next();
};

module.exports = limitMiddleware;

说明 #

• 用Map内存存储每个用户的请求计数和窗口过期时间，每次请求时根据当前时间判断是否需要重置计数。
• 先校验必要参数，避免非法请求导致逻辑异常。
• 完全根据请求体的timeLimit（窗口时长）和messageLimit（最大请求数）动态调整限流规则。

补充提示 #

如果你的服务是多实例部署，内存存储的Map无法跨实例共享计数，此时需要改用Redis等分布式存储来统一维护请求记录。

内容的提问来源于stack exchange，提问作者Hemanshi Dhrangdhriya