我的情况很简单：
我需要一个应用层解决方案来识别并应用某种规则来处理来自同一来源的请求。
如果有人从 Postman、浏览器或 cURL 请求我的服务器，我想识别这个人，然后用这些信息做一些事情。
在我的特殊情况下，我想将一个会在一段时间内攻击我的服务器的人列入黑名单。
在 Node/Express 中可以吗？
【问题讨论】：
标签： node.js http express ipv4 ddos
无论请求是如何发起的（浏览器、cURL、Postman、node.js 应用程序、PHP 应用程序等），Web 请求都没有附带的 uber 标识符来告诉您请求背后的用户是谁。 .).
这个问题经常出现在新的 Web 开发人员中。最后归结为两件事：
要求用户拥有一个帐户，登录该帐户才能使用您的服务，每次使用该服务时都需要登录凭据，然后跟踪他们的使用情况以查看它是否符合您的使用指南。如果没有，您可以禁止该帐户。
通过帐户或 IP 地址或两者的某种组合对用户进行速率限制。如果它们超过某个速率限制，您可以减慢它们的速度或拒绝访问。
浏览器提供 cookie，因此您可以尝试通过浏览器 cookie 识别重复用户。但是，这可以通过清除 cookie 来解决。 Cookie 是针对每个浏览器的，因此您无法将跨多个设备或跨多个浏览器的同一用户与普通 cookie 关联起来。
默认情况下，cURL 和 Postman 不提供任何识别信息，而不是原始 IP 地址。您可以尝试跟踪 IP 地址，但仅依赖 IP 地址存在一些问题，因为企业用户可能正在通过代理，这使他们看起来都来自同一个 IP 地址。如果您因一名用户的不当行为而将其封禁，这可能会影响许多其他无辜用户。
如果您查看 Google、Facebook 等如何做到这一点，它们都要求您创建某种帐户，然后在每次请求时为该帐户提供凭据。这使他们可以跟踪您的使用情况并在需要时管理您的流量。而且，对于免费使用，它们通常都有速率限制，限制您进行 API 调用的频率。这可以防止任何单个用户使用超过适当份额的服务负载。而且，它允许他们检测和管理滥用系统的帐户。
比这更进一步涉及如何创建帐户，因为您不希望滥用者能够每 10 分钟运行一次脚本来自动创建一个新帐户。也有多种方案可以保护这一点。最常见的只是需要一些证据证明有人参与了创建新帐户（验证码、问题/答案等），这会阻止自动创建帐户。其他检查可能需要有效的信用卡、唯一的电子邮件地址验证等...
【讨论】：