Django限制API访问频率常用方法解析

Django API限流方案概述

需求描述：

平台需要开发供第三方调用的接口，并实施频率控制。具体需求为：在5秒内仅允许调用一次，此间隔内禁止再次访问。

解决思路

使用django-ratelimit插件

1. 使用Django官方插件库中的django-ratelimit插件可满足该需求。该插件文档地址为django-ratelimit文档，功能灵活且强大。只需在views函数上添加相应的装饰器即可实现限流。

@ratelimit(key='ip', rate='1/30s', block=True) 装饰器即可生效。网络上相关资料较少，且多为英文。此处对关键参数进行简要解释：

key='ip'为必填项，用于标识按IP地址进行限流。其含义是同一IP地址需遵循后续参数设定的规则。

rate='1/30s'为必填项，用于设置频率值。此处表示30秒内执行一次操作。该参数支持按“分”、“时”、“日”等时间单位划分，配置灵活。例如，若需设置每分钟执行5次，可写作rate='5/m'。具体用法可参考官方文档。

block=True参数曾导致误解。默认值为False，若仅添加装饰器而未指定此参数，访问将不受限制，无法达到预期间隔内的访问阻止效果。需查阅文档确认该参数作用。

根据翻译，False表示是否阻止请求而非仅添加注释。

其含义大致为：当请求进入时，是否直接阻止该请求。将block设置为True后再次测试，若返回403状态码，则说明访问已被成功阻止。

该插件还支持其他参数，若有更复杂的需求，建议查阅完整文档。以上为第一种方案。

基于Session的自定义限流装饰器

2. 通过Session存储访问时间实现限流。

此方案主要有两种实现路径：编写在中间件中，或使用装饰器。鉴于需求中仅需对少数外部调用接口进行限制，选择使用装饰器更为简便。代码实现如下：

def limit(seconds = 5):
'''
@func: 限制访问频率装饰器
'''
def rate_limit(func):
def func_limit(request):
now=time.time()
request_time = request.session.get('request_time',0)
interval_time = int(now - request_time)
if interval_time < seconds:
ret = ret_content(20008,'%s 秒后可再次访问'%(seconds-interval_time))
return JsonResponse(ret)
else:
request.session['request_time'] = time.time()
ret = func(request)
return ret
return func_limit
return rate_limit
def ret_content(ret_code,message):
return {'ret_code':ret_code,'message':message}

基本思路为：将当前访问时间存入Session，并设定时间间隔。若在间隔期内再次访问，则阻止刷新并返回JSON提示；若超过间隔时间，则更新Session中的时间戳并允许执行。使用方式如下：

@limit(seconds=30)

此方案限制30秒内执行一次。相比第一种方法，该“简易版”灵活性稍低，但在禁止期间返回的结果更为友好，并非返回403错误，便于程序后续处理。此外，当前代码未针对IP做特殊处理，如需支持IP限流，可将request_time替换为“IP + Salt”的组合方式。

外部IP地址获取代码示例如下：

def get_remote_cli_ip(request):
'''
@func:获取客户端ip
'''
ip = request.META.get('HTTP_X_FORWARDED_FOR',0)
if ip == 0:
return request.META['REMOTE_ADDR']
else:
return ip

以上为本文的全部内容，希望能为读者提供有益参考，欢迎继续支持本站。