Laravel 9 如何仅对成功请求应用速率限制？

完全可以实现这种仅统计成功请求的速率限制逻辑，核心是把速率限制的校验和计数时机从请求前置阶段转移到响应后置阶段，只在请求处理成功后才累加计数。

核心实现思路 #

• 延迟计数触发：放弃常规的请求前拦截校验，改为在请求处理完成、确认响应符合业务定义的「成功」标准后，再更新速率限制的计数器。
• 独立维护成功请求计数：为每个用户/客户端+端点维护专属的成功请求计数器（比如用Redis存储，键格式可设为rate_limit:success:{user_id}:{endpoint}），和常规速率限制的存储完全区分开。
• 可选的请求前预校验：为了避免无效的请求处理，可以在请求到达时先读取当前成功计数，若已达阈值则直接拦截。
• 明确成功判定规则：根据业务需求定义成功响应的标准，比如HTTP状态码2xx区间，或者响应体中包含特定的成功标记。

代码示例（Express + Redis） #

const express = require('express');
const redis = require('redis');
const client = redis.createClient();

const app = express();
app.use(express.json());

// 自定义成功响应速率限制中间件
const successRateLimit = (config) => {
  return async (req, res, next) => {
    const { userKey, endpoint, max, windowMs } = config;
    // 实际场景中userKey应从请求中提取，比如解析JWT或获取客户端IP
    const rateKey = `rate_limit:success:${userKey}:${endpoint}`;

    // 请求前预检查：若已达成功请求阈值，直接拦截
    const currentCount = await client.get(rateKey);
    if (currentCount && parseInt(currentCount) >= max) {
      return res.status(429).send('Too many successful verification code requests');
    }

    // 劫持响应send方法，判断响应状态后更新计数
    const originalSend = res.send;
    res.send = function(body) {
      // 以2xx状态码作为成功判定标准
      if (res.statusCode >= 200 && res.statusCode < 300) {
        client.incr(rateKey);
        client.expire(rateKey, windowMs / 1000); // 设置窗口过期时间（秒）
      }
      return originalSend.call(this, body);
    };

    next();
  };
};

// 应用到send/code端点
app.post('/send/code', successRateLimit({
  userKey: 'client_192.168.1.100', // 示例：用客户端IP作为标识
  endpoint: 'send/code',
  max: 5, // 15分钟内最多5次成功请求
  windowMs: 900000 // 15分钟（毫秒）
}), (req, res) => {
  // 模拟业务逻辑：参数验证失败返回400，成功返回200
  const { phone } = req.body;
  if (!phone || !/^1[3-9]\d{9}$/.test(phone)) {
    return res.status(400).send('Invalid phone number');
  }
  // 执行发送验证码逻辑
  res.status(200).send('Verification code sent successfully');
});

app.listen(3000, () => console.log('Server running on port 3000'));

关键注意事项 #

• 用户标识可靠性：必须使用不易伪造的用户/客户端标识（如登录用户ID、经过验证的IP+设备指纹），防止恶意绕过限制。
• 计数操作原子性：使用支持原子操作的存储（如Redis的INCR命令），避免并发请求导致计数不准确。
• 失败场景排除：明确排除不需要计数的失败场景（如参数错误、权限不足），确保只有业务逻辑真正成功的请求才会触发计数。
• 过期时间管理：必须为计数器设置过期时间，避免无效数据长期占用存储资源。

内容的提问来源于stack exchange，提问作者Vüsal Hüseynli