无服务器站点前端调用第三方API时IP归属及限流规则相关问题咨询

场景1：前端JavaScript直接发起XHR请求 #

就是你描述的通过xhReq.open("GET", "api-provider site com")从访客浏览器直接调用第三方API的情况：

• API提供方看到的请求IP是访客本人的公网IP：你的无服务器站点仅负责返回静态JS代码给访客，请求是直接从访客本地浏览器发往第三方API服务端，站点服务器本身不参与请求转发。
• 限流规则按单个访客独立生效：第三方API的单IP限流是针对每个访客的IP单独计数，每个访客每分钟最多可发起50次请求，不同访客的配额互相独立，不存在所有用户共享合计50次配额的情况。

场景2：改为Node.js服务端转发API请求 #

此时请求链路变为「访客浏览器→你的Node服务端→第三方API」，对应规则发生变化：

• API提供方看到的请求IP是你的Node服务端的公网出口IP：所有API调用都是由你的Node服务端代为发起，和访客本地IP没有关联。
• 限流规则按全站点用户共享生效：所有访客的API请求都会复用同一个服务端出口IP发往第三方，因此每分钟50次的配额是所有用户合计共享，只要总调用量超过阈值，后续所有用户的请求都会被限流。

内容的提问来源于stack exchange，提问作者Alex0101