@TabKey9,之前的问题是,如果用户名密码输入框被浏览器隐藏,就会以最快的速度不断尝试登录。
现在已经加了5秒延时。
@TabKey9,我看到了,我修改了。
@rkonfj,弄好了
@童真再见,12:02:45是问题停止的时刻,12:02:46你重新登录了。
3月 30 12:02:33 hu60-kunpeng run.sh[268701]: time="2023-03-30T12:02:33+08:00" level=warning msg="authentication failed: sid not found" 3月 30 12:02:33 hu60-kunpeng run.sh[268701]: time="2023-03-30T12:02:33+08:00" level=warning msg="authentication failed: sid not found" 3月 30 12:02:33 hu60-kunpeng run.sh[268701]: time="2023-03-30T12:02:33+08:00" level=warning msg="authentication failed: sid not found" 3月 30 12:02:39 hu60-kunpeng run.sh[268701]: time="2023-03-30T12:02:39+08:00" level=warning msg="authentication failed: sid not found" 3月 30 12:02:45 hu60-kunpeng run.sh[268701]: time="2023-03-30T12:02:45+08:00" level=warning msg="authentication failed: sid not found" 3月 30 12:02:46 hu60-kunpeng run.sh[268701]: time="2023-03-30T12:02:46+08:00" level=info msg="user 童真再见 is connected, there are currently 1 connections" 3月 30 12:02:46 hu60-kunpeng run.sh[268701]: time="2023-03-30T12:02:46+08:00" level=info msg="user 童真再见 is connected, there are currently 2 connections"
@小兽,这是你的推送历史记录,好像也不是太频繁啊,有最近几天吗?
图片已隐藏,在
@
消息中可见
@小兽,点进bot的个人信息页面,可以开启免打扰。免打扰消息不会推送。
@rkonfj,我决定把
HTTP/1.1 503 Service Unavailable
改成HTTP/1.1 429 Too Many Requests
,后者更符合标准。
@rkonfj,对
@rkonfj,目前有一个头信息:
header('HTTP/1.1 503 Service Unavailable'); header('Retry-After: '.$needWaitSeconds);
@rkonfj,我可以添加一个功能来返回JSON
@rkonfj,
hu60bot怎么拿到客户端真实IP
:目前是以下头信息,但我建议不要假定管理员开了代理,首先使用remote addr。除非管理员指定了一个头信息参数,再使用它。proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header REMOTE-HOST $remote_addr;
@rkonfj,是
hu60bot
访问了/user.index.json
,不是用户访问了/user.index.json
,nginx不可能神奇的感知到背后的用户IP是什么。
@rkonfj,所以我们需要
req.Header.Set(一个自定义头信息的变量, 用户的真实IP)
@rkonfj,如果
http.NewRequestWithContext(ctx, http.MethodGet, c.fullURL("/user.index.json")
不传递IP,nginx显然不知道用户的IP是什么。
你可以在HTTP请求中添加头信息,把速率限制转移给单个用户。
@rkonfj,这里达到了限速,所以没有人可以认证通过。顺便一提
udSySELORQDee6_Jxv-YPMEAsAAA
已经被我设为无效了,所以公开也没关系。// 获取sid(跨域时禁用cookie) sid := getRequestParam(r, "sid", noCookie) if sid == "" || sid == "udSySELORQDee6_Jxv-YPMEAsAAA" { m.responseUnauthenticated(ws) logrus.Warn("authentication failed: sid not found") return } // 这里达到了限速 res, err := m.hu60Client.GetProfile(context.Background(), sid) if err != nil { m.responseUnauthenticated(ws) logrus.Warn("authentication failed: ", err.Error()) return }
@rkonfj,因为现在的超速都算在
127.0.0.1
头上了,所以大家都连不上。把真实IP填充在头信息里,我就可以把限速算在具体用户头上了。
@rkonfj,我还有一个建议,你可以在HTTP请求中添加头信息,把速率限制转移给单个用户。
比如,把用户的真实IP填充在
HTTP_CF_CONNECTING_IP
里,然后我在hu60 api里添加真实IP判断。这个头信息的名称要可自定义,因为我不想让别人猜到来伪造IP记录。
/** * 特定IP判定范围 */ $CC_IP_LIMIT = [ // 设置特定IP n秒最多能访问的次数 '127.0.0.1' => 100, ]; /** * 真实IP */ // 无代理时使用 $CC_REAL_IP = $_SERVER['REMOTE_ADDR']; // 采用CloudFlare或百度云加速代理时使用 #$CC_REAL_IP = $_SERVER['HTTP_CF_CONNECTING_IP'];