Python中基于Flask的RESTful API如何限制并发用户数为1，使用Token验证时如何防止抓包盗用？

from flask import Flask, request, jsonify
from flask_limiter import Limiter
from flask_limiter.util import get_remote_address
import secrets
import time

app = Flask(__name__)

# 初始化限流器 - 关键配置：全局限制每秒1个请求
limiter = Limiter(
    get_remote_address,
    app=app,
    default_limits=["1 per second"],  # 核心限制：1秒1请求 = 并发≈1
    storage_uri="memory://"
)

# 存储有效token和最后使用时间
valid_tokens = {}
TOKEN_TIMEOUT = 300  # token有效期5分钟

def generate_secure_token():
    """生成加密安全的token"""
    return secrets.token_urlsafe(32)

def validate_token(token):
    """验证token并防止重放攻击"""
    if token not in valid_tokens:
        return False
    
    # 检查token是否过期
    if time.time() - valid_tokens[token] > TOKEN_TIMEOUT:
        del valid_tokens[token]
        return False
    
    # 更新最后使用时间（可选，根据需求调整）
    valid_tokens[token] = time.time()
    return True

@app.route('/login', methods=['POST'])
def login():
    """登录接口获取token"""
    # 这里应有实际用户验证逻辑
    token = generate_secure_token()
    valid_tokens[token] = time.time()
    return jsonify({'token': token, 'expires_in': TOKEN_TIMEOUT})

@app.route('/api/protected', methods=['GET'])
@limiter.limit("1 per second")  # 对具体接口加强限制
def protected_api():
    """受保护的API接口"""
    token = request.headers.get('Authorization')
    
    if not token or not validate_token(token):
        return jsonify({'error': 'Invalid or expired token'}), 401
    
    # 业务逻辑
    return jsonify({'data': 'Sensitive operation completed'})

# 可选：HTTPS强制中间件
@app.before_request
def require_https():
    if not request.is_secure:
        return jsonify({'error': 'HTTPS required'}), 403

if __name__ == '__main__':
    app.run(ssl_context='adhoc')  # 测试用自签名HTTPS

核心要点：

1. 并发控制：flask-limiter的1 per second限制是最直接的方法，实际效果就是阻止并发请求。如果需要严格单用户，可以结合用户会话或IP进行更精细控制。

2. Token防盗用：

   • 使用secrets.token_urlsafe()生成高熵token
   • 服务端存储token并设置短有效期（5分钟）
   • 强制HTTPS防止中间人抓包
   • 每次验证后更新token时间（可选防重放）

3. 补充建议：

   • 生产环境用Nginx限流更可靠
   • 考虑添加请求签名（timestamp+nonce）
   • 重要操作可加入二次验证

一句话建议：限流用flask-limiter，Token加HTTPS和短有效期。

使用 SSL pinning 技术增大抓包难度。
自增字段、加密网卡号等方式都可以增加破解难度。
破解难度高到一定程度即可，再费劲就得不偿失了。