关于KTor Rate limiter插件的两个客户端IP相关技术问题

1. 为每个客户端IP配置独立令牌桶 #

完全可以实现。KTor的Rate Limiter插件允许通过自定义keySelector来区分限流维度，以此为每个客户端IP创建专属令牌桶。示例代码如下：

install(RateLimit) {
    register(RateLimitName("ip-specific")) {
        rateLimiter = TokenBucketRateLimiter(capacity = 100, refillPeriod = 1.minutes)
        keySelector = { call ->
            // 提取客户端原始IP，若部署在反向代理后，需考虑读取X-Forwarded-For等请求头
            call.request.origin.remoteHost
        }
    }
}

这段代码会根据每个请求的客户端IP生成唯一标识，每个标识对应独立的令牌桶，实现按IP维度的精准限流。

2. 仅在访问有效页面时消耗令牌 #

由于你使用的是全局限流器，默认会拦截所有请求（包括不存在的页面请求）。要实现仅有效页面请求消耗令牌，可采用以下两种方案：

• 路由级限流：移除全局限流器，仅在所有有效页面的路由上单独配置限流器。这样未匹配到任何有效路由的请求（即访问不存在页面的请求）不会触发限流逻辑，自然不会消耗令牌。
• 全局限流器加路由判断：若需保留全局安装方式，可在keySelector中添加路由匹配逻辑，仅当请求命中有效路由时才应用限流：

install(RateLimit) {
    register(RateLimitName("valid-page-only")) {
        rateLimiter = TokenBucketRateLimiter(capacity = 100, refillPeriod = 1.minutes)
        keySelector = { call ->
            // 检查请求是否匹配已定义的有效路由
            val routingMatchResult = call.application.routing.match(call)
            if (routingMatchResult.isSuccess) {
                // 若使用全局桶则返回固定key，若按IP则返回remoteHost
                call.request.origin.remoteHost
            } else {
                null // 返回null表示跳过当前请求的限流
            }
        }
        onSkipped { /* 跳过限流时的逻辑，可留空 */ }
    }
}

注意：针对暴力攻击场景，即使是访问不存在页面的大量请求也会占用服务器资源，建议在限流环节前增加快速404返回逻辑，进一步降低资源消耗。

内容的提问来源于stack exchange，提问作者Cool_Coder