تحديد المعدّل ضدّ التخمين العشوائي Rate Limiting

الصياغة

POST /login   (بلا أي قيد على عدد الطلبات لكل عنوان IP أو حساب)

📄 مثال

// ✅ آمن: تأخير متزايد + سقف طلبات لكل IP، بدل قفل حساب فوري وصارم
const rateLimiter = new Map(); // بمثال حقيقي: استخدم Redis لا ذاكرة العملية

function checkRateLimit(ip) {
  const attempts = rateLimiter.get(ip) ?? 0;
  if (attempts > 10) return false;  // تجاوز السقف خلال النافذة الزمنية
  rateLimiter.set(ip, attempts + 1);
  return true;
}

if (!checkRateLimit(req.ip)) return res.status(429).send("حاول لاحقًا");

أهم النقاط

💡 نصائح عملية

• طبّق الحدّ على مستوى عنوان IP والحساب معًا — الاعتماد على أحدهما فقط يترك ثغرة للطرف الآخر من الهجوم

⚠️ أخطاء شائعة

• قفل الحساب فورًا بعد محاولة واحدة فاشلة أو محاولات قليلة جدًّا — يسهّل حجب خدمة مستخدمين شرعيين عمدًا من مهاجم يعرف بريدهم فقط

خصائص ذات صلة