API 濫用防護：限請求次數，還要限一次請求能花多少資源
針對導出、短信、圖片處理和 AI 調用，建立并發、任務預算與第三方費用限制。
本文目錄
低頻請求也可能很昂貴
一條請求可能觸發大批資料庫查詢、超大文件處理或按次付費的外部服務。OWASP API4 將不受限制的資源消耗列為 API 風險。固定帶寬和業務流量不計量也不能限制資料庫、短信或模型調用的開銷，這些需要在應用與依賴服務中控制。
按資源類型定義上限
建議分別設置分頁大小、上傳體積、執行時間、并發任務、排隊長度和下游調用預算。對導出類任務采用異步處理，并讓取消操作真正停止后端工作。限制值應從正常業務樣本推導，不給所有接口套用同一個數字。
身份額度與網路限流要配合
同一公司可能共享出口 IP，一個濫用者也可能更換多個地址。按帳號、租戶、API 密鑰和操作類型設置額度，再結合網路行為檢測。高成本操作還應驗證對象權限與冪等性，避免合法登錄后批量讀取他人資料或重復觸發付費任務。
告警要包含業務成本
觀察第三方費用、隊列等待、失敗重試和單租戶資源占比，并明確觸發降級后的恢復方式。聯調時驗證超限返回清晰、正常租戶仍可使用、重試不會成倍放大壓力。邊緣防護與應用預算一起落實，才不會把流量下降誤判成風險消失。