Rate Limiting কেন দরকার?

প্রায় সব সিস্টেমের সীমা আছে — ডাটাবেস, API, অথেন্টিকেশন এন্ডপয়েন্ট, নোটিফিকেশন প্রোভাইডার এক সাথে নির্দিষ্ট পরিমাণের বেশি কাজ নিতে পারে না। Rate limiting ট্রাফিককে আকার দেয়, যাতে স্পাইক বা একজন আগ্রাসী ইউজারের কারণে আউটেজ না হয়।

লজিক সবসময় একই

1. কে কাজটা করছে চিহ্নিত করো।
2. কতবার করতে পারবে ঠিক করো।
3. চেষ্টাগুলো গুনে রাখো।
4. সীমা পেরোলে থামাও (যেমন 429 Too Many Requests)।

RateLimiter অ্যাবস্ট্রাকশন

RateLimiter::for('login', function (Request $request) {
    return Limit::perMinute(5)->by($request->ip());
});

এই তিন লাইনেই পুরো মেন্টাল মডেল:

বাকিটা লারাভেল করে — গণনা, সংরক্ষণ (সাধারণত Redis), এবং অনুমতি দেওয়া বা প্রত্যাখ্যান।

কোথায় লিখবো? (Laravel 11+)

app/Providers/AppServiceProvider.php

use Illuminate\Cache\RateLimiting\Limit;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\RateLimiter;

public function boot(): void
{
    RateLimiter::for('api', function (Request $request) {
        return $request->user()
            ? Limit::perMinute(100)->by($request->user()->id) // লগড-ইন: ১০০
            : Limit::perMinute(10)->by($request->ip());       // গেস্ট: ১০
    });
}

পুরোনো ভার্সনে (Laravel 8–10) এটা RouteServiceProvider-এ থাকতো।

Docs: Rate Limiting

HTTP Request Throttling

সরাসরি সংখ্যা দিয়ে

// প্রতি ১ মিনিটে সর্বোচ্চ ৬০টি রিকোয়েস্ট
Route::middleware(['throttle:60,1'])->group(function () {
    Route::get('/user', function () {
        // ...
    });
});

নামযুক্ত limiter দিয়ে

Route::post('/login', LoginController::class)->middleware('throttle:login');

ভেতরে সবকিছু একই RateLimiter ইঞ্জিন দিয়ে যায়, তাই পুরো অ্যাপে rate limiting সামঞ্জস্যপূর্ণ থাকে।

লিমিট পেরোলে কী হয়?

Docs: Attaching Rate Limiters

Exception Throttling

External API ডাউন হলে প্রতিটি রিকোয়েস্ট একই exception দেয় — লগ বা error-tracking সার্ভিস (Sentry, Flare) ভেসে যায়। লারাভেল রিপোর্ট করা exception throttle করতে দেয়:

bootstrap/app.php

use Illuminate\Support\Lottery;

->withExceptions(function (Exceptions $exceptions) {
    $exceptions->throttle(function (Throwable $e) {
        return Lottery::odds(1, 1000); // প্রতি ১০০০টিতে ১টি রিপোর্ট
    });
})

শুধু নির্দিষ্ট noisy exception throttle করা

use Illuminate\Cache\RateLimiting\Limit;

$exceptions->throttle(function (Throwable $e) {
    if ($e instanceof ExternalApiException) {
        return Limit::perMinute(200);
    }
});

ক্রিটিক্যাল এরর সব রিপোর্ট হয়, পুনরাবৃত্ত এরর নিয়ন্ত্রণে থাকে।

Docs: Throttling Reported Exceptions

Queue Job Throttling

দুটি উপায়, দুটি আলাদা সমস্যার জন্য।

১. RateLimited — throughput সীমিত করা

use Illuminate\Queue\Middleware\RateLimited;

public function middleware(): array
{
    return [new RateLimited('external-api')];
}

Limiter ডিফাইন করুন RateLimiter::for('external-api', ...) দিয়ে। লিমিট পেরোলে লারাভেল job-কে অটোমেটিক্যালি queue-তে ফেরত পাঠায় (release) — ম্যানুয়ালি delay সামলাতে হয় না।

Docs: Job Rate Limiting

২. ThrottlesExceptions — বারবার ফেইল করলে থামা

use Illuminate\Queue\Middleware\ThrottlesExceptions;

public function middleware(): array
{
    return [new ThrottlesExceptions(10, 300)];
}

Job ১০টির বেশি exception দিলে লারাভেল ৩০০ সেকেন্ড throttle করে, তারপর আবার চেষ্টা। অস্থির dependency-কে রিকভারির সময় দেয়।

Docs: Throttling Exceptions

Throttling-এ Redis কেন?

প্রতিটি লিমিট চেক (counter বাড়ানো, timestamp দেখা, lock নেওয়া) একটি atomic অপারেশন হতে হয়। Redis এটা মেমরিতে করে, ডিস্কে নয়।

প্রথাগত ডাটাবেস বা file store স্কেলে এগুলো নির্ভরযোগ্যভাবে পারে না।

বোনাস: Redis-নির্দিষ্ট টুল

// Queue job-এর জন্য Redis-অপ্টিমাইজড middleware
use Illuminate\Queue\Middleware\RateLimitedWithRedis;

return [new RateLimitedWithRedis('external-api')];

// অথবা সরাসরি Redis throttle — ৬০ সেকেন্ডে সর্বোচ্চ ১০টি
Redis::throttle('key')->allow(10)->every(60)->then(function () {
    // Job logic...
}, function () {
    return $this->release(10); // lock পাওয়া যায়নি
});

সঠিক Scope বাছাই

ভুল scope হলে ভুল মানুষ ব্লক হবে, অথবা কিছুই রক্ষা হবে না।

Per-User — ন্যায্যতার জন্য

RateLimiter::for('api', function (Request $request) {
    return Limit::perMinute(60)->by($request->user()?->id ?: $request->ip());
});

প্রত্যেকের নিজের কোটা — একজন আগ্রাসী ক্লায়েন্ট সবাইকে ধীর করতে পারে না। পাবলিক API, লগইন, অথেন্টিকেটেড অ্যাকশনের জন্য।

Global — সিস্টেম-ব্যাপী ক্যাপাসিটি

RateLimiter::for('external-api', function () {
    return Limit::perMinute(500);
});

সবার মধ্যে শেয়ার। থার্ড-পার্টি API-র মোট কোটা বা ব্যয়বহুল background task-এর জন্য।

Hybrid — দুটোই

RateLimiter::for('uploads', function (Request $request) {
    return [
        Limit::perMinute(60)->by($request->user()->id), // প্রতি ইউজার
        Limit::perMinute(500),                          // সবাই মিলে
    ];
});

ইউজাররা এককভাবেও না, সম্মিলিতভাবেও না — সিস্টেম ওভারলোড করতে পারবে না।

HTTP-এর বাইরে Rate Limit

RateLimiter::attempt() সাধারণ PHP-তে কাজ করে — service, domain logic, console command, scheduled task, যেকোনো জায়গায়:

use Illuminate\Support\Facades\RateLimiter;

RateLimiter::attempt(
    'import-check',
    $perMinute = 5,
    function () {
        // শুধু লিমিটের মধ্যে থাকলে চলবে
        dispatch(new CheckExternalImport);
    }
);

import-check key গত এক মিনিটে ৫ বারের কম ব্যবহার হলে callback চলবে; না হলে স্কিপ — অপ্রয়োজনীয় কাজ এড়ানো।

ম্যানুয়াল নিয়ন্ত্রণ

// উদাহরণ: অ্যাডমিনকে এরর ইমেইল ৫ মিনিটে একবারের বেশি নয়
if (RateLimiter::tooManyAttempts('send-error-email', 1)) {
    $seconds = RateLimiter::availableIn('send-error-email');
    return; // এই সময়ের মধ্যে ইমেইল আগেই গেছে
}

RateLimiter::hit('send-error-email', 300); // ৩০০ সেকেন্ডের উইন্ডো
// অ্যাডমিনকে এরর রিপোর্ট পাঠান...

RateLimiter::clear('send-error-email'); // দরকার হলে রিসেট

যা মাথায় রাখবেন

পুরো লারাভেলে Rate Limiting

সারসংক্ষেপ ও যাচাই

• প্রতিটি limiter তিনটি প্রশ্নের উত্তর: কী, কতবার, কার উপর।
• Laravel 11+-এ limiter AppServiceProvider::boot()-এ ডিফাইন করুন।
• Job-এ: পরিচিত কোটা → RateLimited; অস্থির সার্ভিস → ThrottlesExceptions।
• Atomic ও দ্রুত হওয়ায় throttling-এর জন্য Redis সেরা।
• Per-user, global বা hybrid — scope ভেবেচিন্তে বাছুন।

নিজেকে যাচাই করুন