محدودیت نرخ و اعتبارسنجی ورودی API

محدودیت نرخ (Rate Limiting) چیست؟

محدودیت نرخ مکانیزمی است که تعداد درخواست‌هایی که یک کاربر می‌تواند در واحد زمان ارسال کند را محدود می‌کند. این مکانیزم از حملات brute force، DoS و سوءاستفاده از API جلوگیری می‌کند.

چرا محدودیت نرخ مهم است؟

• جلوگیری از حملات brute force
• جلوگیری از حملات DoS
• جلوگیری از سوءاستفاده از API
• حفظ پایداری سرویس
• کنترل هزینه‌ها

Header‌های محدودیت نرخ

روش‌شناسی تست محدودیت نرخ

مرحله ۱: شناسایی endpoint‌های حساس

• endpoint‌های ورود و ثبت‌نام
• endpoint‌های بازیابی رمز عبور
• endpoint‌های ارسال پیام یا ایمیل
• endpoint‌های پرداخت

مرحله ۲: تست محدودیت نرخ

1# ارسال ۱۰۰ درخواست سریع
2for i in $(seq 1 100); do
3  response=$(curl -s -o /dev/null -w "%{http_code}" \
4    -X POST https://target.com/api/login \
5    -d "username=admin&password=wrong${i}")
6  echo "Request ${i}: ${response}"
7  if [ "$response" = "429" ]; then
8    echo "Rate limit hit at request ${i}"
9    break
10  fi
11done

مرحله ۳: تست دور زدن محدودیت نرخ

• تغییر IP با proxy یا VPN
• تغییر User-Agent
• تغییر header‌های X-Forwarded-For
• استفاده از IPv6
• تغییر endpoint یا پارامترها

اعتبارسنجی ورودی API

اعتبارسنجی ورودی شامل بررسی نوع، طول، محدوده، فرمت و ساختار داده‌های ورودی است.

نوع اعتبارسنجی

تست اعتبارسنجی ورودی

1# تست نوع داده نادرست
2curl -X POST https://target.com/api/users \
3  -H "Content-Type: application/json" \
4  -d '{"age": "not_a_number"}'
5
6# تست طول بیش‌ازحد
7curl -X POST https://target.com/api/users \
8  -H "Content-Type: application/json" \
9  -d '{"name": "A".repeat(10000)}'
10
11# تست کاراکترهای خاص
12curl -X POST https://target.com/api/users \
13  -H "Content-Type: application/json" \
14  -d '{"name": "<script>alert(1)</script>"}'

آسیب‌پذیری‌های رایج

• عدم محدودیت نرخ در endpoint‌های حساس
• عدم اعتبارسنجی نوع داده
• عدم محدودیت طول ورودی
• فاش شدن اطلاعات داخلی در پاسخ خطا
• عدم اعتبارسنجی Content-Type
• Batch API بدون محدودیت تعداد

تأثیر

• حملات brute force موفق
• انکار سرویس
• تزریق کد
• سوءاستفاده از منابع
• افزایش هزینه‌ها

راه‌حل

• پیاده‌سازی محدودیت نرخ در تمام endpoint‌ها
• استفاده از الگوریتم‌های محدودیت نرخ (Token Bucket, Sliding Window)
• اعتبارسنجی جامع ورودی‌ها
• استفاده از schema validation (مثل JSON Schema)
• محدودیت حجم درخواست
• لاگ‌برداری و مانیتورینگ