レートリミット

識別子ごとにカウント
　IPアドレスやユーザーIDごとに「何回リクエストしたか」を記録
一定期間ごとにリセット
　例えば「1分間に10回まで」など、期間ごとにカウントをリセット
上限を超えたら制限
　上限を超えたリクエストにはエラー（例：HTTP 429 Too Many Requests）を返す

rate-limiter-flexible

https://www.npmjs.com/package/rate-limiter-flexible

npm i --save rate-limiter-flexible

例：APIルート

route.ts：

import { RateLimiterMemory } from "rate-limiter-flexible";

const rateLimiter = new RateLimiterMemory({
  points: 10, // 10 requests
  duration: 60, // per minute
});

export async function GET(req: NextRequest) {
  const ip =
    req.headers.get("x-forwarded-for")?.split(",")[0] ||
    "unknown";

 try {
    await rateLimiter.consume(ip, 1);
  // 成功処理
} catch {
  // 失敗処理  
}

１分間に10リクエストまで許容する例
rateLimiter.consume(ip, 1);
- リクエストを超えた時点で例外を返すので catchで捕らえる

*カウントの共有

rateLimiter 変数を別のファイル（例： /lib/rate-limit.ts）に分けると、変数をimportしているroute.tsでカウントが共有されるので、この場合は duration と point を緩めても良い。

APIルート毎にカウントを分けたい場合は、それぞれのroute.tsにrateLimiterを書く。

`"x-forwarded-for"`

rateLimiter を使っているページでは、req.headers.get("x-forwarded-for") によりIPアドレスを取得するが、実際にデプロイしているアプリにサーバー側（POSTMAN）からリクエストを行っても"x-forwarded-for" という文字が確認できない。同様にブラウザ検証ツールのネットワークタブ（リクエストヘッダー）にも無い。

一方、開発環境の場合req.headers をlogで表示するとx-forwarded-for が確認できる。

  'x-forwarded-host': 'localhost:3000',
  'x-forwarded-port': '3000',
  'x-forwarded-proto': 'http',
  'x-forwarded-for': '::1'

デプロイしているアプリのレートリミットを入れたAPIルートにアクセスし、リロードを重ねるとちゃんと機能していることが確認できるのでroute.tsで"x-forwarded-for によるIPの取得は成功しているようである。

{"message":"Too Many Requests","error":
{"remainingPoints":0,"msBeforeNext":7174,"consumedPoints":19,"isFirstInDuration":false}}

ブラウザから確認できない理由

検証ツールのNetwork タブに表示されるのはリクエストに含まれるヘッダーで、x-forwarded-for は Vercel やプロキシが追加するヘッダーなので、ブラウザから直接送信されるわけではない。つまりクライアント側では確認できない。

確認するにはrateLimiterを使っているAPIルートでIPアドレスの変数をconsole.log に入れると、プロキシで付与されたユーザーのIPアドレスが確認できる。

Rate-Limit

Rate-Limit