在代码级别还是Nginx级别保护otpapi？

Question

场景：

我有一个OTP generation API。到现在为止，如果我使用POST在主体中使用联系人号码，它将生成OTP代码，而不管它被同一个ip调用了多少次。在代码级别和nginx级别没有安全性。在

我们接受的建议是阻塞IP应该在代码级别还是Nginx进行。我想限制从同一个IP在一天内访问api 5次。在

Answer 1

你真的应该远离使用IP作为限制。不仅可以更改IP以允许中介重放OTP。在

将访问向量与访问向量相结合，将访问向量与访问向量相结合。在

因此，与web服务器相比，您希望实现的限制在代码或应用程序级别会更好。无论如何，您也应该这样做，以便更好地保护OTP和与之相关的最佳实践；过期，只使用一次等等