security - 如何使用Web API限制DOS攻击

Question

我计划使用 MVC4 和 Web APi 开发一个互联网站点。它是一个简单的应用程序，将根据搜索显示客户信息。

对于搜索功能，我使用 Ajax get 方法调用 webApi(我知道我应该使用 Post，但考虑这是当前的实现)。

我的 API 调用是 “/api/Data/getSearchResults/?companyName='” + 公司名称

我觉得这条线可以用作 DOS 攻击来瘫痪我的服务器。我是否可以使用 Microsoft Anti-XSS 库或 ValidateAntiForgeryToken 属性或任何其他机制来确保请求是由真实用户而不是任何自动机器人生成的。

我的网站启用了匿名访问。

Answer 1

有一个名为 WebApiThrottle 的库它定义了一个 ThrottlingHandler，您可以使用它根据调用者的 IP 或其他属性以编程方式限制每秒/分钟/小时的请求数。

另一个选择是act at the IIS level ，当然你可以同时使用两者来获得更好的控制。