nodejs | x-forwarded-for

المشكلة هي أنك قمت بتمكين خيار trust proxy في express-rate-limit، مما يعني أن express ستستخدم عنوان IP الوارد في رأس X-Forwarded-For لتحديد IP العميل.

ويمكن للمهاجمين تعديل رأس X-Forwarded-For لإرسال عنوان IP مختلف، مما يمكنهم من تجاوز قيود معدل الطلب.

فعليك إما تعطيل خيار trust proxy أو التحقق من صحة رأس X-Forwarded-For قبل استخدامها.

ولتعطيل خيار trust proxy، سنكتب التالي:

app.set('trust proxy', false);

أو التحقق من صحة رأس X-Forwarded-For باستخدام الكود التالي:

const { rateLimit } = require("express-rate-limit");

const limiter = rateLimit({
  windowMs: 1 * 60 * 1000,
  limit: 100,
  standardHeaders: 'draft-7',
  legacyHeaders: false,
  validate: {
    trustProxy: false,
    xForwardedFor: (value) => {
      if (!value) {
        return true;
      }

      // تحقق من أن رأس `X-Forwarded-For` يحتوي على عنوان IP واحد فقط
      if (value.split(",").length !== 1) {
        return false;
      }

      // تحقق من أن عنوان IP هو عنوان IP صالح
      try {
        const ip = new IPAddress(value);
        return ip.isValid();
      } catch (error) {
        return false;
      }
    },
  },
});

حيث نقوم أولاً بتعطيل خيار trust proxy. ثم، إنشاء مُنشئ مخصص لتحقق من صحة رأس X-Forwarded-For. ويتحقق المُنشئ أولاً من أن الرأس يحتوي على عنوان IP واحد فقط. ثم، يتحقق من أن عنوان IP هو عنوان IP صالح.

وفي حال أنك تستخدم الكود في سؤالك لمعالجة رأس X-Forwarded-For، فتستطيع تعديله لإزالة التحقق من أن عنوان IP هو 89.187.162.182، وذلك التحقق غير ضروري عند استخدام خيار trust proxy.

أعتقد أن المشكلة في رمز rate limiting تنشأ بسبب إعدادات "trust proxy" في Express، حيث يعتبر أي عنوان IP يمر عبر الـ proxy موثوقا به، مما يسمح بالتلاعب بعناوين IP وتجاوز القيود، ربما يمكن إيجاد الحل عن طريق تحديد `trustProxy: true` في إعدادات `rateLimit`أما بالنسبة لكود "x-forwarded-for"، يمكن تحسينه باستخدام `socket.handshake.headers` وضبط التفاصيل بشكل أفضل.