Опции для защиты от общедоступных конечных точек

Question

Я хотел бы создать статическую веб-страницу, размещенную на AWS S3 ... страница будет состоять из простого текстового поля HTML5 для генерируемых пользователем комментариев. Затем пользователь может ввести комментарий через этот ввод, нажать кнопку отправки, которая будет передавать данные на сервер AWS с помощью async. Javascript обратные вызовы.

Сервер AWS принимает вход и каждые 15 минут обновляет статический файл (новые комментарии) в ведре S3.

Я делаю это, потому что я не хочу брать затраты базы данных для извлечения сообщений, когда я могу использовать задержанный процесс, как то, что описано выше.

Мое беспокойство, однако, это безопасность. Есть ли какой-либо творческий способ ограничить пользователя отправкой миллиона комментариев, потому что мне не нужен логин. Я думал, что ограничу комментарии по IP-адресу, чтобы, если более 10 комментариев были отправлены в любое 60-минутное окно, сервер отбросит их, но это не сработает с большими прокси. На основании вышеприведенной конфигурации, какие у меня варианты? Я действительно недоумеваю, потому что все данные, на которые вы могли бы фильтровать (cookie, строка пользовательского агента и т. Д.), Могут быть подделаны. Я что-то пропустил?

Answer 1

Вы боретесь с двумя основными проблемами ... перебор и отказ в обслуживании. Как вы сказали, все данные, которые могут быть сохранены для идентификации в браузере пользователя, могут быть подделаны. Даже сложная вещь, такая как CSRF Tokens, не может вам помочь. Кроме того, идея идентификации IP-адресов довольно радикальна. Что произойдет, если я подмену свой IP-адрес и начну отправлять пакеты, не заботясь о их возврате? Таким образом, я мог бы заблокировать много другого IP-адреса, и вы откажете в доступе к кому-то, кому это нужно. Это не решение. не

Итак, вернемся к вопросу, Нет, нет никакого способа, чтобы защитить себя без какой-либо проверки подлинности. Вы либо откажетесь в обслуживании людей, потому что вы ограничите количество запросов, или они наполнит вас, и вы снова откажетесь в обслуживании.

Удачи.