Asp-Net-Core开发笔记：使用原生的接口限流功能 - 程序设计实验室
内容提要
本文介绍了在 .NET 8 中使用内置限流组件的情况，并与第三方组件 AspNetCoreRateLimit 进行了比较。通过配置固定窗口策略实现接口限流，并提供了代码示例。尽管新组件配置简单，但功能不如第三方组件强大，作者最终选择继续使用 AspNetCoreRateLimit。
延伸解读
中间件顺序：限流必须位于路由之后
文章强调限流中间件必须放在 UseRouting 之后，因为限流策略是附加在具体接口上的，需要先完成路由匹配才能知道该请求对应哪个接口。如果顺序错误，限流可能无法按预期生效。此外，CORS 和认证授权等中间件也应合理安排顺序，避免相互干扰。
队列配置对限流行为的影响
通过设置 QueueLimit 可以控制触发限流时请求的排队行为。文章示例中 QueueLimit=2，表示最多允许两个请求排队等待，第三个请求会立即被拒绝。如果将 QueueLimit 设为 0，则触发限流时直接拒绝，不进入队列。这会影响用户体验和系统保护效果，需要根据实际场景权衡。
自定义拒绝响应：从 503 到 429
内置限流组件默认返回 503 状态码，但可以通过配置 OnRejected 回调改为返回 429，并添加 Retry-After 响应头告知客户端重试时间。文章指出最关键的是设置 StatusCode，其他如写入响应体等步骤可以省略。这有助于客户端更好地处理限流情况。
IP 限流与用户限流的实现复杂度
原生组件不直接支持基于 IP 的限流，需要借助 PartitionedRateLimiter.Create 为每个 IP 创建分区，但文章提醒这种方式可能容易受到 IP 欺骗攻击。基于用户的限流则需结合认证信息自定义策略，实现较为复杂。作者因此认为原生方案不够灵活，最终选择继续使用 AspNetCoreRateLimit。
Q&A
.NET 8 中的内置限流组件与 AspNetCoreRateLimit 有什么区别？
内置限流组件配置简单，但功能不如 AspNetCoreRateLimit 灵活，后者支持更多限流策略和功能。
如何在 .NET 8 中配置固定窗口策略的限流？
可以通过 AddRateLimiter 方法配置固定窗口策略，并在需要限流的接口上添加 [EnableRateLimiting(RateLimitPolicies.Fixed)] 注解。
限流中间件应该放在什么位置？
限流中间件必须在路由之后应用，以确保请求被路由到具体接口后再进行限流。
触发限流策略时，系统会返回什么状态码？
系统会返回 503 或 429 状态码，具体取决于配置。
内置限流组件支持 IP 地址限流吗？
内置限流组件不支持 IP 地址限流功能，需要自行实现，而 AspNetCoreRateLimit 提供了此功能。
如何实现基于用户的限流？
可以通过自定义策略实现基于用户的限流，但实现较为复杂，建议使用 AspNetCoreRateLimit。
