API Rate Limiting'i IP, Kullanıcı ve Endpoint Bazlı Nasıl Granüler Hale Getirdim?

const rateLimit = require('express-rate-limit');

const limiter = rateLimit({
    windowMs: 15  60  1000, // 15 dakika
    max: 100, // IP başına 100 istek
    message: 'Çok fazla istek gönderdiniz, lütfen 15 dakika sonra tekrar deneyin.'
});
app.use('/api', limiter);

const rateLimitRules = {
    // Kullanıcı Tiplerine Göre Global Dakikalık Limitler
    userTier: {
        anonymous: { windowMs: 60000, max: 60 }, // Dakikada 60 istek
        free: { windowMs: 60000, max: 120 },
        premium: { windowMs: 60000, max: 300 },
        admin: { windowMs: 60000, max: 1000 }
    },
    // Endpoint'lere Özel Ek Limitler (Kullanıcı limitine EK olarak uygulanır)
    endpoints: {
        '/api/auth/login': { windowMs: 300000, max: 5 }, // 5 dakikada 5 başarısız giriş
        '/api/checkout': { windowMs: 3600000, max: 10 }, // Saatte 10 satın alma
        '/api/search': { windowMs: 10000, max: 30 } // 10 saniyede 30 arama
    }
};

const Redis = require('ioredis');
const redisClient = new Redis(process.env.REDIS_URL);

const smartRateLimiter = (req, res, next) => {
    // 1. Anahtar (Key) Oluştur
    const ip = req.ip;
    const userId = req.user?.id || 'anonymous';
    const userTier = req.user?.tier || 'anonymous';
    const path = req.path;

    // Örnek Key: rateLimit:ip:192.168.1.1|user:123|path:/api/search
    const baseKey = `rateLimit:ip:${ip}|user:${userId}|path:${path}`;

    // 2. Uygulanacak Limit Kurallarını Belirle
    const tierRule = rateLimitRules.userTier[userTier];
    const endpointRule = rateLimitRules.endpoints[path];

    const limitsToApply = [];
    if (tierRule) limitsToApply.push({ ...tierRule, keySuffix: 'tier' });
    if (endpointRule) limitsToApply.push({ ...endpointRule, keySuffix: 'endpoint' });

    // 3. Tüm Limitleri Asenkron Kontrol Et
    const checkPromises = limitsToApply.map(async (rule) => {
        const fullKey = `${baseKey}|type:${rule.keySuffix}`;
        const current = await redisClient.incr(fullKey);

        if (current === 1) {
            // İlk istekte, bu anahtar için TTL (süre) belirle
            await redisClient.expire(fullKey, rule.windowMs / 1000);
        }

        if (current > rule.max) {
            throw new Error(`LIMIT_EXCEEDED_${rule.keySuffix.toUpperCase()}`);
        }
        return true;
    });

    Promise.all(checkPromises)
        .then(() => next()) // Tüm limitler aşılmadı, isteği geçir
        .catch((err) => {
            if (err.message.includes('LIMIT_EXCEEDED')) {
                const limitType = err.message.split('_')[2];
                res.status(429).json({
                    error: 'İstek Limiti Aşıldı',
                    message: `${limitType} limitinizi aştınız. Lütfen daha sonra tekrar deneyin.`,
                    retryAfter: limitsToApply.find(r => r.keySuffix === limitType.toLowerCase())?.windowMs / 1000
                });
            } else {
                next(err);
            }
        });
};

// Middleware'i uygula
app.use('/api', smartRateLimiter);