Express.js 请求频率限制与暴力破解防护方案对比

在构建 Node.js 后端服务时，保护 API 免受滥用和暴力破解攻击是架构设计中的关键一环。express-brute、express-rate-limit、express-slow-down 和 rate-limiter-flexible 都是用于解决这一问题的中间件，但它们的设计理念、维护状态和适用场景有很大不同。本文将从技术实现、存储支持和维护状态三个维度进行深度对比。

🛠️ 基本配置与用法

这四个包的核心目标都是控制请求频率，但初始化的方式和配置项有所不同。

express-brute 采用类实例化的方式，通常用于特定路由（如登录接口）的暴力破解防护。

// express-brute
const ExpressBrute = require('express-brute');
const store = new ExpressBrute.MemoryStore();
const bruteforce = new ExpressBrute(store);

app.post('/login', bruteforce.prevent, (req, res) => {
  // 处理登录逻辑
});

express-rate-limit 作为全局或路由中间件使用，配置直观，专注于窗口期内的最大请求数。

// express-rate-limit
const rateLimit = require('express-rate-limit');

const limiter = rateLimit({
  windowMs: 15 * 60 * 1000,
  max: 100
});

app.use(limiter);

express-slow-down 配置类似 express-rate-limit，但重点在于设置延迟阈值，而非直接阻断。

// express-slow-down
const slowDown = require('express-slow-down');

const speedLimiter = slowDown({
  windowMs: 15 * 60 * 1000,
  delayAfter: 50,
  delayMs: (hits) => hits * 100
});

app.use(speedLimiter);

rate-limiter-flexible 需要实例化限制器对象，并配合中间件包装器使用，配置更为灵活。

// rate-limiter-flexible
const { RateLimiterMemory, RateLimiterExpress } = require('rate-limiter-flexible');

const rateLimiter = new RateLimiterMemory({
  points: 10,
  duration: 1
});

app.use(new RateLimiterExpress(rateLimiter).middleware);

💾 存储后端支持

存储后端决定了限制数据保存在哪里，直接影响系统的扩展性和性能。

express-brute 支持内存和 Redis，但配置方式较为老旧，扩展性有限。

// express-brute
const RedisStore = require('express-brute-redis');
const store = new RedisStore({
  host: 'localhost',
  port: 6379
});

express-rate-limit 默认使用内存，但官方支持多种外部存储插件（如 Redis、MongoDB）。

// express-rate-limit
const RedisStore = require('rate-limit-redis');
const limiter = rateLimit({
  store: new RedisStore({
    sendCommand: (...args) => redisClient.call(...args),
  }),
  windowMs: 15 * 60 * 1000,
  max: 100
});

express-slow-down 通常复用 express-rate-limit 的存储配置，两者常一起工作。

// express-slow-down
const RedisStore = require('rate-limit-redis');
const speedLimiter = slowDown({
  store: new RedisStore({
    sendCommand: (...args) => redisClient.call(...args),
  }),
  windowMs: 15 * 60 * 1000
});

rate-limiter-flexible 原生支持最广泛的存储后端，包括 Redis、Memcached、Postgres、Mongo 等。

// rate-limiter-flexible
const { RateLimiterRedis } = require('rate-limiter-flexible');
const rateLimiter = new RateLimiterRedis({
  storeClient: redisClient,
  points: 10,
  duration: 1
});

🔑 自定义键与粒度控制

如何识别用户（IP、UserID、API Key）决定了防护的精准度。

express-brute 默认基于 IP，自定义键需要通过中间件逻辑手动处理，较为繁琐。

// express-brute
app.post('/login', (req, res, next) => {
  bruteforce.handle(new ExpressBrute.Request(req, res), next, {
    id: req.body.username // 手动指定键
  });
}, (req, res) => {
  // 登录成功
});

express-rate-limit 通过 keyGenerator 配置项轻松自定义键，支持基于用户 ID 等逻辑。

// express-rate-limit
const limiter = rateLimit({
  keyGenerator: (req) => {
    return req.user.id || req.ip;
  }
});

express-slow-down 同样支持 keyGenerator，逻辑与 express-rate-limit 一致。

// express-slow-down
const speedLimiter = slowDown({
  keyGenerator: (req) => {
    return req.user.id || req.ip;
  }
});

rate-limiter-flexible 在中间件配置中直接支持 getKey，且支持多维度组合键，灵活性最高。

// rate-limiter-flexible
app.use(new RateLimiterExpress(rateLimiter, {
  getKey: (req) => {
    return `${req.user.id}_${req.ip}`;
  }
}).middleware);

⚠️ 维护状态与安全性

选择库时，维护状态直接关系到安全性。过时的库可能包含未修复的漏洞。

express-brute 已多年未更新，社区普遍认为其不再适合新项目。存在潜在的安全风险，不建议继续使用。

// express-brute
// ⚠️ 警告：该库已不再维护，npm 页面无近期更新
// 建议迁移至 rate-limiter-flexible

express-rate-limit 维护活跃，定期更新以适应 Express 新版本和安全需求。

// express-rate-limit
// ✅ 状态：活跃维护
// 适合大多数标准场景

express-slow-down 维护活跃，通常与 express-rate-limit 同步更新。

// express-slow-down
// ✅ 状态：活跃维护
// 适合作为补充策略

rate-limiter-flexible 维护活跃，专注于提供企业级的灵活性和安全性。

// rate-limiter-flexible
// ✅ 状态：活跃维护
// 适合复杂和高并发场景

📊 总结对比表

💡 架构建议

express-rate-limit 是大多数项目的默认选择 🧰。它简单、可靠，足以应对 90% 的 API 防护需求。配合 express-slow-down 可以在不阻断用户的情况下缓解流量峰值。

rate-limiter-flexible 是复杂系统的首选 🔧。如果你需要基于数据库用户 ID 进行限制，或者需要在 Redis 集群中共享限制状态，它的灵活性和存储支持是无与伦比的。

express-brute 应被视作技术债务 🗑️。虽然它曾经很流行，但现在的替代品更安全、更灵活。如果在新项目中看到它，请务必替换。

最终建议：对于新项目，优先使用 express-rate-limit。如果业务逻辑复杂或需要分布式支持，选择 rate-limiter-flexible。永远不要在新代码中引入 express-brute。