Защита веб-сервиса от атаки HTTP-запросами?

Question

[qwead]

Есть api-сервис, который принимает запрос с методом PUT по адресу /api/account
{"Login": "user1", "Password": "pwd123456"}
Как его можно обезопасить от хакеров, которые могут мне забить всю базу таким скриптом?:

for(var counter = 0; counter < 9999999; counter++)
{
  var payload = {
      Login: 'aziatuser' + counter,
      Password: 'yourehacked'
  };
  fetch('http://mysite.ru/api/account', {
      method: 'PUT',
      body: JSON.stringify(payload),
      headers: {
          'Accept': 'application/json, text/plain, */*',
          'Content-Type': 'application/json'
      }
  });
}

т.е. нужно запретить одному и тому же клиенту отсылать один и тот же запрос

Answer 1

[Dmitry Tallmange]

Nginx, к примеру, умеет rate limit:

limit_req_zone $binary_remote_addr zone=mylimit:10m rate=10r/s;

server {
    location /login/ {
        limit_req zone=mylimit;


        proxy_pass http://my_upstream;
    }
}

У апача есть модули, реализующие необходимый органичивающий функционал.

Comments

[qwead]

Dmitry Tallmange, спасибо. Проверил, действительно помогло)
Подскажите, пожалуйста, еще такой момент: что будет в случае если запросы будут идти из-под ip, который за NAT? не получится ли так, что 503 ошибка будет выдаваться и тем кто, вовсе первые делает запрос?

[Dmitry Tallmange]

qwead, разумеется, именно так и произойдет

[Dmitry Tallmange]

Храните собственную сессию по некоему уникальному признаку, и, в случае превышения лимита отдавайте какой-нибудь 503 Service Unavailable