我应该根据 IP 或 JWT 令牌对我的 API 进行速率限制吗?

Question

我正在我的API上实施速率限制。我可以自定义它将用于限制调用的键。我的软件是公司的 SaaS Web 应用程序，所以我认为按 IP 地址使用速率限制密钥可能很糟糕，因为我可能有具有多个用户的客户端并从同一 IP 进行多次调用。所以我的下一个选择是使用 JWT 令牌本身来限制调用(每 5 分钟更新一次(。尽管这对我来说似乎是一个不错的选择，但我发现它不是很受欢迎，因为关于它的(快速(研究并没有带来人们使用它的任何结果。

使用 JWT 令牌作为 API 速率限制密钥有什么缺点吗？

Answer 1

尝试解码 JWT 并使用用户 ID(如果它存储在其中(。

您将拥有一个真正唯一的标识符，当用户切换 IP 地址、从多个点进行坐标或续订其身份验证租约时，该标识符不会消失。