Flask-Limiter：為 API 添加訪問速率限制的 Python 擴(kuò)展！

作者：weixin02 · 2025-09-15 · 閱讀時間：7分鐘

今天要給大家介紹一款在構(gòu)建安全且穩(wěn)定的 API 服務(wù)時非常實用的 Python 擴(kuò)展——Flask-Limiter。它就如同一位嚴(yán)謹(jǐn)?shù)?API 流量管家，能夠精準(zhǔn)地控制對 API 端點的訪問速率，無論是防止惡意攻擊、保護(hù)服務(wù)器資源，還是確保公平合理地分配 API 使用權(quán)限，F(xiàn)lask-Limiter 都能像一位公正的守門人，嚴(yán)格把控流量入口，引領(lǐng)我們在 API 開發(fā)與管理的世界里穩(wěn)健前行。

安裝 Flask-Limiter：開啟流量管控之旅

要踏上 Flask-Limiter 的 API 流量管控之旅，首先得把它安裝到我們的 Python 環(huán)境里。如果電腦上有 Python 的 pip 工具，在命令行里輸入“pip install flask-limiter”，安裝完成后，就仿佛招募到了這位專業(yè)的流量管家，準(zhǔn)備在 API 服務(wù)的天地里維護(hù)流量秩序。

基本速率限制：設(shè)置全局規(guī)則

安裝好 Flask-Limiter 后，咱們先來看看它如何設(shè)置基本的速率限制，這就像是流量管家在 API 服務(wù)的入口處豎起一塊醒目的限速牌，對所有訪問者一視同仁地進(jìn)行流量限制。

from?flask?import?Flask
from?flask_limiter?import?Limiter
from?flask_limiter.util?import?get_remote_address

app?=?Flask(__name__)

#?創(chuàng)建?Limiter?實例，使用遠(yuǎn)程地址作為限制的依據(jù)
limiter?=?Limiter(
????app,
????key_func=get_remote_address,
????default_limits=["100?per?minute"]
)

#?定義一個簡單的?API?端點
@app.route('/api/data')
def?get_data():
????return?"Some?data"

if?__name__?==?'__main__':
????app.run()

在這段代碼里，Limiter類像是流量管家的指揮中心，key_func=get_remote_address表示根據(jù)客戶端的遠(yuǎn)程 IP 地址來識別不同的訪問者，default_limits=["100 per minute"]則像是那塊限速牌上的規(guī)定，限制每個 IP 地址每分鐘最多只能訪問 100 次/api/data端點。當(dāng)有客戶端頻繁請求該端點時，超過限制后，F(xiàn)lask-Limiter 會像管家禮貌地拒絕多余的請求并告知訪問者已達(dá)到速率限制，在基本速率限制環(huán)節(jié)，F(xiàn)lask-Limiter 展示出了簡潔高效的流量管控能力，為 API 服務(wù)的穩(wěn)定性提供了初步保障。

基于用戶角色的限制：區(qū)分權(quán)限流量

Flask-Limiter 還支持基于用戶角色的速率限制，這就像是流量管家為不同身份的訪客開辟了專用通道，并分別設(shè)置了不同的限速規(guī)則。

from?flask?import?Flask,?request
from?flask_limiter?import?Limiter
from?flask_limiter.util?import?get_remote_address

app?=?Flask(__name__)

#?模擬用戶認(rèn)證函數(shù)，返回用戶角色
def?get_user_role():
????#?這里可以根據(jù)實際的認(rèn)證邏輯獲取用戶角色，例如從請求頭或數(shù)據(jù)庫中
????return?request.headers.get('X-User-Role',?'guest')

limiter?=?Limiter(
????app,
????key_func=lambda:?get_user_role(),
????default_limits=["10?per?minute"]
)

#?為管理員角色設(shè)置更高的速率限制
limiter.limit("50?per?minute")(app.route('/api/admin_data')(lambda:?"Admin?data"))

#?普通用戶訪問的端點
@app.route('/api/user_data')
def?get_user_data():
????return?"User?data"

if?__name__?==?'__main__':
????app.run()

在這個例子中，key_func=lambda: get_user_role()使得速率限制根據(jù)用戶角色來確定。對于普通用戶（guest角色），默認(rèn)限制為每分鐘 10 次訪問，而對于管理員（通過X-User-Role請求頭標(biāo)識），在/api/admin_data端點上的訪問速率限制提高到每分鐘 50 次。就像流量管家為貴賓通道設(shè)置了更高的限速，F(xiàn)lask-Limiter 的基于用戶角色的限制功能可以根據(jù)用戶的不同權(quán)限分配合理的 API 訪問資源，滿足復(fù)雜業(yè)務(wù)場景下的流量管理需求。

動態(tài)速率限制：靈活應(yīng)對變化

有時，我們需要根據(jù)服務(wù)器的負(fù)載或其他動態(tài)因素來調(diào)整速率限制，F(xiàn)lask-Limiter 能夠像一位智能的流量調(diào)度員，動態(tài)地改變限速規(guī)則。

from?flask?import?Flask
from?flask_limiter?import?Limiter
from?flask_limiter.util?import?get_remote_address
import?time

app?=?Flask(__name__)

limiter?=?Limiter(
????app,
????key_func=get_remote_address
)

#?根據(jù)當(dāng)前時間動態(tài)設(shè)置速率限制
def?dynamic_limit():
????current_minute?=?int(time.time()?/?60)
????#?例如，奇數(shù)分鐘限制為?50?次/分鐘，偶數(shù)分鐘限制為?100?次/分鐘
????if?current_minute?%?2?==?0:
????????return?"100?per?minute"
????else:
????????return?"50?per?minute"

#?將動態(tài)限制應(yīng)用到?API?端點
limiter.limit(dynamic_limit)(app.route('/api/dynamic_data')(lambda:?"Dynamic?data"))

if?__name__?==?'__main__':
????app.run()

在這段代碼里，dynamic_limit函數(shù)像是流量調(diào)度員根據(jù)時間這個動態(tài)因素制定的靈活限速策略，limiter.limit(dynamic_limit)將這個動態(tài)規(guī)則應(yīng)用到/api/dynamic_data端點。這樣，根據(jù)當(dāng)前時間的不同，該端點的訪問速率限制會相應(yīng)變化，就像調(diào)度員根據(jù)實時路況調(diào)整道路限速，F(xiàn)lask-Limiter 的動態(tài)速率限制功能使 API 服務(wù)能夠更好地適應(yīng)各種變化情況，優(yōu)化資源利用和用戶體驗。

與緩存機(jī)制結(jié)合：提升性能與防護(hù)

Flask-Limiter 可以與緩存機(jī)制相結(jié)合，這就像是流量管家與倉庫管理員攜手合作，不僅限制流量，還能提高 API 響應(yīng)速度并增強(qiáng)安全性。

from?flask?import?Flask
from?flask_limiter?import?Limiter
from?flask_limiter.util?import?get_remote_address
from?flask_caching?import?Cache

app?=?Flask(__name__)

#?配置緩存
cache?=?Cache(app,?config={'CACHE_TYPE':'simple'})

limiter?=?Limiter(
????app,
????key_func=get_remote_address
)

#?對一個需要緩存且限速的?API?端點進(jìn)行設(shè)置
@app.route('/api/cached_data')
@limiter.limit("20?per?minute")
@cache.cached(timeout=60)
def?get_cached_data():
????return?"Cached?data"

if?__name__?==?'__main__':
????app.run()

在這個示例中，@cache.cached(timeout=60)對/api/cached_data端點進(jìn)行緩存設(shè)置，在限速的同時將響應(yīng)結(jié)果緩存 60 秒。這樣，對于頻繁請求且數(shù)據(jù)相對穩(wěn)定的 API，既能減少不必要的計算和數(shù)據(jù)庫查詢，又能在速率限制范圍內(nèi)快速響應(yīng)，就像流量管家和倉庫管理員共同優(yōu)化了服務(wù)流程，F(xiàn)lask-Limiter 與緩存機(jī)制的結(jié)合進(jìn)一步提升了 API 服務(wù)的性能和安全性，在高并發(fā)場景下具有重要意義。

總之，F(xiàn)lask-Limiter 是一個功能強(qiáng)大且極具靈活性的 Python 擴(kuò)展，它就像一位無所不能的 API 流量管控大師，在 API 開發(fā)與管理的舞臺上為我們呈現(xiàn)出一場場精準(zhǔn)高效的流量限制盛宴。現(xiàn)在就借助 Flask-Limiter 的力量，在 API 項目中打造出安全、穩(wěn)定且公平的 API 服務(wù)吧！不過，API 流量管理是一個持續(xù)優(yōu)化的過程，F(xiàn)lask-Limiter 的功能也需要我們不斷深入學(xué)習(xí)和實踐，才能充分發(fā)揮其優(yōu)勢并確保 API 服務(wù)在各種場景下都能良好運(yùn)行。

文章轉(zhuǎn)自微信公眾號@曉芳故事