Cara terbaik untuk menerapkan pembatasan permintaan di ASP.NET MVC?

Kami sedang bereksperimen dengan berbagai cara untuk membatasi tindakan pengguna dalam periode waktu tertentu :

• Batasi posting pertanyaan / jawaban
• Batasi pengeditan
• Batasi pengambilan umpan

Untuk saat ini, kami menggunakan Cache untuk hanya menyisipkan catatan aktivitas pengguna - jika catatan itu ada jika / ketika pengguna melakukan aktivitas yang sama, kami menekan.

Menggunakan Cache secara otomatis memberi kita data basi membersihkan dan menggeser jendela aktivitas pengguna, tetapi bagaimana skala itu bisa menjadi masalah.

Apa sajakah cara lain untuk memastikan bahwa permintaan / tindakan pengguna dapat dibatasi secara efektif (penekanan pada stabilitas)?

Berikut adalah versi umum dari apa yang telah kami gunakan di Stack Overflow selama setahun terakhir:

/// <summary>
/// Decorates any MVC route that needs to have client requests limited by time.
/// </summary>
/// <remarks>
/// Uses the current System.Web.Caching.Cache to store each client request to the decorated route.
/// </remarks>
[AttributeUsage(AttributeTargets.Method, AllowMultiple = false)]
public class ThrottleAttribute : ActionFilterAttribute
{
    /// <summary>
    /// A unique name for this Throttle.
    /// </summary>
    /// <remarks>
    /// We'll be inserting a Cache record based on this name and client IP, e.g. "Name-192.168.0.1"
    /// </remarks>
    public string Name { get; set; }

    /// <summary>
    /// The number of seconds clients must wait before executing this decorated route again.
    /// </summary>
    public int Seconds { get; set; }

    /// <summary>
    /// A text message that will be sent to the client upon throttling.  You can include the token {n} to
    /// show this.Seconds in the message, e.g. "Wait {n} seconds before trying again".
    /// </summary>
    public string Message { get; set; }

    public override void OnActionExecuting(ActionExecutingContext c)
    {
        var key = string.Concat(Name, "-", c.HttpContext.Request.UserHostAddress);
        var allowExecute = false;

        if (HttpRuntime.Cache[key] == null)
        {
            HttpRuntime.Cache.Add(key,
                true, // is this the smallest data we can have?
                null, // no dependencies
                DateTime.Now.AddSeconds(Seconds), // absolute expiration
                Cache.NoSlidingExpiration,
                CacheItemPriority.Low,
                null); // no callback

            allowExecute = true;
        }

        if (!allowExecute)
        {
            if (String.IsNullOrEmpty(Message))
                Message = "You may only perform this action every {n} seconds.";

            c.Result = new ContentResult { Content = Message.Replace("{n}", Seconds.ToString()) };
            // see 409 - http://www.w3.org/Protocols/rfc2616/rfc2616-sec10.html
            c.HttpContext.Response.StatusCode = (int)HttpStatusCode.Conflict;
        }
    }
}

Penggunaan sampel:

[Throttle(Name="TestThrottle", Message = "You must wait {n} seconds before accessing this url again.", Seconds = 5)]
public ActionResult TestThrottle()
{
    return Content("TestThrottle executed");
}

Cache ASP.NET berfungsi seperti jagoan di sini - dengan menggunakannya, Anda dapat membersihkan entri throttle secara otomatis. Dan dengan pertumbuhan lalu lintas kami, kami tidak melihat bahwa ini adalah masalah di server.

Jangan ragu untuk memberikan umpan balik tentang metode ini; ketika kami membuat Stack Overflow lebih baik, Anda mendapatkan perbaikan Ewok Anda lebih cepat :)

Microsoft memiliki ekstensi baru untuk IIS 7 yang disebut Dynamic IP Restrictions Extension untuk IIS 7.0 - Beta.

"Pembatasan IP Dinamis untuk IIS 7.0 adalah modul yang memberikan perlindungan terhadap penolakan serangan layanan dan kekerasan pada server web dan situs web. Perlindungan tersebut disediakan dengan memblokir sementara alamat IP dari klien HTTP yang membuat jumlah permintaan bersamaan yang luar biasa tinggi atau yang membuat banyak permintaan dalam periode kecil. " http://learn.iis.net/page.aspx/548/using-dynamic-ip-restrictions/

Contoh:

Jika Anda menetapkan kriteria untuk diblokir setelah X requests in Y millisecondsatau X concurrent connections in Y millisecondsalamat IP akan diblokir Y millisecondsmaka permintaan akan diizinkan lagi.

Kami menggunakan teknik yang dipinjam dari URL ini http://www.codeproject.com/KB/aspnet/10ASPNetPerformance.aspx , bukan untuk pelambatan, tetapi untuk Denial Of Service (DOS) orang miskin. Ini juga berbasis cache, dan mungkin mirip dengan apa yang Anda lakukan. Apakah Anda mencekik untuk mencegah serangan DOS? Router tentu dapat digunakan untuk mengurangi DOS; apakah menurut Anda router dapat menangani pelambatan yang Anda butuhkan?