定义
速率限制是一种流量管理控制：在指定时间窗口内为客户端执行某项动作的频率设定上限。当客户端超出阈值时，服务器以错误回应——通常是 HTTP 429 Too Many Requests——或静默丢弃多余请求。时间窗口或按固定计划重置（“固定窗口”计数器），或滚动执行（“滑动窗口”计数器），后者带来更平滑的执行效果，避免攻击者在窗口边界制造爆发式利用。
速率限制是历史最悠久、部署最普及的网页安全控制之一。OWASP（Open Web Application Security Project）将其列为应对暴力破解、撞库与表单自动化滥用的首要防御。Cloudflare 在其 WAF 产品中提供速率限制功能，规则可按 URL 路径、HTTP 方法、IP 地址、Cookie 取值与请求头进行配置。AWS WAF、Azure Front Door 与 Google Cloud Armor 提供同等能力。
速率限制的工作原理
速率限制器为每个唯一客户端标识维护一个计数器——最常见的是来源 IP 地址，有时是账号标识、API 密钥或会话 Cookie。请求到达时，服务器检查该标识对应的当前计数。若低于阈值，请求放行并计数加一；若已达到或超过阈值，请求被拒，返回 429 响应或按既定策略处置。
计数器存储通常在 Redis 或 Memcached 中实现，以便多台服务器实例之间快速分布式查询——这是横向扩展应用的必要条件。Cloudflare 文档描述了在边缘网络层执行速率限制的方式，规则在请求抵达源站之前生效，让减负工作分摊到 Cloudflare 全球基础设施之上。
竞赛语境下常见的速率限制参数包括：
- 每 IP 每窗口的票数：最普及的配置。例如：每 IP 24 小时内不得超过 1 票。
- 每账号每场比赛的票数：在应用层以已认证用户账号标识为键执行。
- 每 IP 每小时注册数：作用于账号创建端点，遏制机器人批量建号。
- 每令牌每分钟 API 调用数：与对外暴露公开投票 API 的竞赛平台相关。
速率限制亦可基于概率应用——例如对带有自动化行为或指纹信号的请求收紧上限，对具备高置信真人指标的会话则放宽。
您会在哪里遇到它
几乎每个网络平台都部署有速率限制。竞赛运营方最直接遇到它的位置有三处：投票提交端点、账号注册表单，以及（如要求邮箱确认）邮件发送管线。借由 API 集成的竞赛会在平台 API 端点上遭遇速率限制。
对终端用户而言，速率限制最常以 HTTP 429 错误或平台特定提示（如”您已投过票”、“请稍后再投”）的形式出现。许多平台采用”软”速率限制——接受请求但静默丢弃重复——以避免向潜在滥用者暴露控制机制。
Cloudflare WAF 速率限制文档指出，规则可在分析阶段先设为”仅记录不拦截”，待阈值校准妥当后再切换为拦截。这种两阶段方式有助于竞赛运营方避免在合法投票浪潮中误伤用户。
实际示例
某美食博主奖项评选将投票系统配置为按 IP 24 小时速率限制。比赛末周，一位投票者尝试从同一住宅 IP 快速连续提交 50 张票。第一张被接受；其余 49 个请求收到 429 响应。投票者浏览器显示提示，说明每天仅可投票一次。
某 SaaS 竞赛平台同时承载数百场比赛，使用 Cloudflare 速率限制把守网络边缘。某机器人针对一场比赛以每分钟 10000 次请求轰击，在边缘被节流到每分钟最多 60 次，多余请求永远到达不了源站。源站日志只见已被节流的流量，服务端 CPU 使用率毫发无伤。
某创业公司自建竞赛微站点的 OWASP 安全评审，发现邮箱确认重发端点未实施速率限制是一项漏洞——攻击者可触发数千封确认邮件灌爆受害者收件箱。评审建议将该端点的速率限制设为每个邮箱每小时最多 3 次重发请求，与 OWASP 暴力破解防御指南一致。
相关概念
异常检测是速率限制更精细的搭档：速率限制执行硬性阈值，异常检测则识别相对于学习得到的行为基线的偏离，能识破那些刻意保持在固定上限之下的欺诈活动。当速率上限按 IP 设定，而恶意行为者把请求分散到大量 IP 之上以规避按 IP 阈值时，ASN 多样性分析便变得相关——ASN 层级分析能察觉聚合后的整体模式。reCAPTCHA v3 提供行为风险评分，可与速率限制叠加，对评分疑似自动化的会话选择性收紧上限。
局限与注意事项
在运营商级 NAT 环境下，按 IP 的速率限制效果会大打折扣，因为单个公网 IP 可能代表数百名合法移动用户。“每 IP 24 小时 1 票”会错误地阻止其中绝大多数用户投票。这就是为什么当移动受众占比可观时，竞赛平台必须把速率限制与基于账号或基于 Cookie 的去重叠加使用。此外，速率上限设得过于激进，会损害来自共享网络（高校园区、企业办公室、大型公共 Wi-Fi 热点）的合法投票者的体验。
