Django Ninja框架中的请求限流(Throttling)机制详解-CSDN博客

本文链接：https://blog.csdn.net/gitblog_00991/article/details/148441107

Django Ninja框架中的请求限流(Throttling)机制详解

django-ninja 💨 Fast, Async-ready, Openapi, type hints based framework for building APIs 项目地址: https://gitcode.com/gh_mirrors/dj/django-ninja

前言

在现代Web API开发中，请求限流(Throttling)是一项重要的功能，它可以帮助我们控制API的访问频率，防止不当使用和服务器过载。本文将深入探讨Django Ninja框架中的请求限流机制，帮助开发者理解并正确使用这一功能。

什么是请求限流？

请求限流是一种API访问控制机制，它通过限制客户端在特定时间窗口内可以发出的请求数量，来保护服务器资源不被过度消耗。Django Ninja提供了灵活的限流配置方式，可以在全局、路由和操作三个层级进行设置。

Django Ninja限流机制特点

多层级配置：支持全局、路由和操作三个层级的限流配置
基于Django缓存：使用Django的缓存框架实现限流计数
与DRF兼容：设计上与Django REST Framework的限流机制类似
性能优化：直接传递已初始化的限流器对象而非类

限流速率表示法

Django Ninja使用简洁的语法表示限流速率，格式为"请求数/时间单位"。例如：

"10/s" 表示每秒10次请求
"100/5m" 表示每5分钟100次请求
"1000/d" 表示每天1000次请求

支持的时间单位包括：

秒：s或sec
分钟：m或min
小时：h或hour
天：d或day

限流配置实践

全局限流配置

在创建NinjaAPI实例时设置限流规则，适用于所有API端点：

from ninja.throttling import AnonRateThrottle, AuthRateThrottle

api = NinjaAPI(
    throttle=[
        AnonRateThrottle('10/s'),  # 匿名用户每秒10次
        AuthRateThrottle('100/s'),  # 认证用户每秒100次
    ],
)

路由级限流配置

可以在添加路由时或在Router初始化时设置限流规则：

# 方式1：在添加路由时设置
api.add_router('/protected', 'myapp.api.router', throttle=AnonRateThrottle('100/m'))

# 方式2：在Router初始化时设置
router = Router(..., throttle=[AnonRateThrottle('1000/h')])

操作级限流配置

针对单个API操作设置限流规则，会覆盖全局和路由级配置：

from ninja.throttling import UserRateThrottle

@api.get('/some', throttle=[UserRateThrottle('10000/d')])
def some(request):
    ...

内置限流器详解

AnonRateThrottle

功能：仅限制未认证用户的请求
识别方式：使用客户端IP地址作为唯一标识
适用场景：防止未授权用户过度使用API

UserRateThrottle

功能：限制已认证用户的请求(使用Django内置用户认证)
识别方式：使用用户ID作为唯一标识，未认证用户回退到IP地址
适用场景：限制单个用户的API使用频率

AuthRateThrottle

功能：基于Django Ninja认证系统限制请求
识别方式：使用request.auth生成唯一标识，未认证用户回退到IP地址
注意事项：自定义认证对象需要实现__str__方法返回唯一值

自定义限流器开发

开发者可以通过继承BaseThrottle或内置限流器类来实现自定义限流逻辑。核心是重写allow_request方法：

from ninja.throttling import AnonRateThrottle

class NoReadsThrottle(AnonRateThrottle):
    """自定义限流器：不限制GET请求"""
    
    def allow_request(self, request):
        if request.method == "GET":
            return True
        return super().allow_request(request)