Node.js中如何针对单个用户限制登录尝试次数？

你的问题根源在于默认限流规则是基于请求IP生成唯一标识，所有请求共用同一个计数池，因此会出现全局限流的情况。要实现针对特定用户的限流，核心是通过keyGenerator选项为每个用户生成独立的唯一标识，让限流计数按用户维度隔离。

基础实现：按认证用户ID限流 #

如果你的API已经实现用户认证（比如通过JWT、Session等方式，认证后用户信息挂载到req.user上），可以按以下方式配置：

const rateLimit = require('express-rate-limit');

const limiter = rateLimit({
    windowMs: 60 * 60 * 1000, // 修正你代码里的注释：这里是1小时而非24小时
    max: 5, // 默认每个用户1小时内最多5次请求
    message: {
      code: 429,
      message: "You have exceeded the 5 requests in 1-hour limit!",
    },
    standardHeaders: true,
    legacyHeaders: false,
    // 自定义key生成器：优先用用户ID，未认证则回退到IP
    keyGenerator: (req) => {
      // 假设认证后用户ID存储在req.user.id
      return req.user?.id || req.ip;
    }
  });

应用中间件时，必须先执行用户认证中间件，再应用限流，确保req.user已被正确挂载：

// 示例路由：先认证，再限流
app.use('/api/protected', authMiddleware, limiter, (req, res) => {
  res.send('Protected API response');
});

进阶：给不同用户设置差异化限流阈值 #

如果需要给特定用户（如VIP用户）更高的请求限额，可以用max的函数形式，根据用户角色动态调整：

const limiter = rateLimit({
    windowMs: 60 * 60 * 1000,
    // 动态设置请求上限：VIP用户1小时20次，普通用户5次
    max: (req) => {
      return req.user?.isVIP ? 20 : 5;
    },
    message: {
      code: 429,
      message: (req) => {
        const limit = req.user?.isVIP ? 20 : 5;
        return `You have exceeded the ${limit} requests in 1-hour limit!`;
      }
    },
    standardHeaders: true,
    legacyHeaders: false,
    keyGenerator: (req) => {
      return req.user?.id || req.ip;
    }
  });

注意事项 #

• 认证中间件必须在限流中间件之前执行，否则req.user会是undefined，导致退回到IP限流逻辑。
• 若使用Token认证（如JWT），需先完成Token解析并将用户信息挂载到req对象，再应用限流。
• 保留req.ip作为未认证用户的标识，可实现未认证用户按IP限流的逻辑。

内容的提问来源于stack exchange，提问作者Rakesh L