Implementa Rate Limit na API: Rotas com POST, PATCH e DELETE

[filipedeschamps]

Contexto

Continuando a implementar o rate-limit proposto pela issue #639 e que já foi iniciado na issue #635, mas dessa vez vamos começar a trabalhar em outros endpoints sensíveis.

Execução

Estava analisando os endpoints da API e destaquei o seguinte:

Método	Caminho	Cuidado
PATCH	/api/v1/activation	intermediário
POST	/api/v1/contents	baixo
POST	/api/v1/recovery	alto
PATCH	/api/v1/recovery	alto
DELETE	/api/v1/sessions	intermediário
POST	/api/v1/sessions	altíssimo
POST	/api/v1/users	baixo
PATCH	/api/v1/users/[username]	baixo
GET	/api/v1/user	???

PS: Faltou algum endpoint que vocês notaram?

Não sei se vocês concordam com essa classificação, mas na verdade a parte mais curiosa na minha opinião é o GET /api/v1/user. Destaco isso, pois é um endpoint em que você não consegue enviar nada, a não ser o session_id (como qualquer outro endpoint que recebe e interpreta o session_id), mas ele é especial porque, se quebrar ele por falta de rate-limit, os dados pessoais do usuário são retornados.

Então por um lado, ele não oferece vetor de ataque adicional, porém se quebrado, devolve informações sensíveis. Especial, não?

De qualquer forma, a inclusão de controles específicos para mais endpoints está impraticável no código atual. Então estou proponto no PR abaixo a refatoração, e depois a adição das novas rotas:

• Implementa Rate Limit na API: Rotas com POST, PATCH e DELETE #657

[filipedeschamps]

Fechado por #657 e vamos considerar essa a primeira versão, pois o @aprendendofelipe destacou pontos muito importantes no PR e que devem ser implementados 🤝

[filipedeschamps]

Por enquanto o uso está assim:

[filipedeschamps]

Registrando aqui o uso:

[filipedeschamps]

Vai vir o primeiro billing do Upstash de 0.47 dolares: