Flask-Limiter로 사용자별 요청 제한 구현, 429 Too Many Requests 완벽 가이드

🔗 Flask-Limiter로 사용자별 요청 제한의 개념과 동작 원리

웹 애플리케이션은 동시에 많은 요청이 몰릴 경우 성능 저하나 서비스 중단으로 이어질 수 있습니다.
특히 API 서버는 인증 여부와 상관없이 누구나 접근할 수 있는 엔드포인트가 많기 때문에 악의적인 공격이나 과도한 사용을 방치하면 정상 사용자 경험이 크게 저하됩니다.
이 문제를 해결하기 위해 가장 널리 쓰이는 방법이 요청 제한 (Rate Limiting)입니다.

Flask-Limiter는 Flask 애플리케이션에 손쉽게 요청 제한 기능을 추가할 수 있는 확장 모듈입니다.
핵심은 클라이언트 식별자(예: IP 주소, 사용자 ID, 토큰)를 기준으로 일정 시간 내 요청 횟수를 카운트하고, 설정한 한도를 초과하면 429 Too Many Requests 상태 코드를 반환하는 것입니다.
이 방식은 서버 자원을 보호하고, 특정 사용자가 과도하게 시스템을 점유하는 것을 방지하는 데 효과적입니다.

🚦 429 Too Many Requests란?

429 상태 코드는 HTTP 표준에서 정의된 응답 코드로, 클라이언트가 일정 시간 동안 지나치게 많은 요청을 보냈음을 의미합니다.
이 응답에는 종종 Retry-After 헤더가 함께 포함되어, 클라이언트가 얼마 후 다시 요청을 시도해야 하는지 알려줄 수 있습니다.
따라서 API 소비자에게 명확한 제한 정책을 전달하는 수단으로도 중요합니다.

⚙️ 동작 방식 요약

• 🔑key_func를 통해 요청자의 고유 식별자를 추출
• 📊지정된 기간 동안의 요청 횟수를 추적
• 🚫한도를 초과하면 429 상태 코드 반환
• ⏱️필요 시 Retry-After 헤더로 재시도 대기 시간 안내

🛠️ Flask-Limiter 설치와 기본 설정 key_func 구성

Flask-Limiter는 pip를 통해 간단히 설치할 수 있으며, Flask 앱과 자연스럽게 통합됩니다.
가장 기본적인 설정은 key_func를 이용해 각 클라이언트를 구분하는 기준을 정하는 것입니다.
기본적으로는 요청의 IP 주소를 사용하지만, 로그인한 사용자의 ID나 API 토큰으로도 식별할 수 있습니다.

📦 설치 방법

pip install flask-limiter

설치가 끝나면 Flask 애플리케이션에 확장을 초기화해야 합니다.
예를 들어, 아래와 같은 코드로 쉽게 적용할 수 있습니다.

from flask import Flask
from flask_limiter import Limiter
from flask_limiter.util import get_remote_address

app = Flask(__name__)
limiter = Limiter(
    get_remote_address,  # 기본 key_func (클라이언트 IP 기준)
    app=app,
    default_limits=["100 per hour"]  # 기본 제한 설정
)

@app.route("/api")
@limiter.limit("5 per minute")  # 엔드포인트별 제한
def my_api():
    return "Hello, Flask-Limiter!"

🔑 key_func 활용

기본 함수인 get_remote_address는 요청자의 IP 주소를 반환합니다.
하지만 실제 운영 환경에서는 IP만으로는 충분하지 않을 수 있습니다.
예를 들어 동일한 공유 네트워크(회사, 학교)에서 여러 사용자가 접속할 때 IP 기준 제한은 오탐을 발생시킬 수 있습니다.

이럴 경우 Flask의 세션, 인증 토큰, 또는 JWT의 사용자 ID를 활용해 key_func를 재정의하면 더 정밀한 제어가 가능합니다.

def user_based_key_func():
    return getattr(getattr(request, "user", None), "id", get_remote_address())

⚙️ 사용자 ID 기준 제한 구현과 429 응답 커스터마이징

실제 서비스에서는 단순히 IP 주소가 아니라 사용자 ID를 기준으로 요청 제한을 적용하는 경우가 많습니다.
이렇게 하면 같은 네트워크를 사용하는 여러 명의 사용자가 한 명처럼 제한되는 문제를 피할 수 있고, 인증 기반 서비스의 경우 훨씬 더 공정한 제어가 가능합니다.

👤 사용자 ID 기준 key_func 구현

from flask import request
from flask_login import current_user

def user_id_key():
    if current_user and hasattr(current_user, "id"):
        return str(current_user.id)
    return request.remote_addr

위와 같이 key_func를 정의하면, 로그인된 사용자는 ID를 기준으로 제한되고, 비로그인 사용자는 기본적으로 IP 주소를 기준으로 제한됩니다.

🚦 429 Too Many Requests 응답 커스터마이징

기본적으로 한도를 초과하면 Flask-Limiter는 429 상태 코드와 함께 간단한 오류 메시지를 반환합니다.
그러나 실제 서비스에서는 API 사용자나 프런트엔드가 처리하기 쉽게 JSON 구조로 응답을 커스터마이징하는 것이 일반적입니다.

from flask import jsonify
from flask_limiter.errors import RateLimitExceeded

@app.errorhandler(RateLimitExceeded)
def ratelimit_handler(e):
    return jsonify({
        "error": "too_many_requests",
        "message": "요청 한도를 초과했습니다. 잠시 후 다시 시도하세요.",
        "retry_after": e.retry_after
    }), 429

이처럼 응답을 세밀하게 정의하면 API 클라이언트는 재시도 대기 시간을 파악하고, 사용자에게 보다 친절한 안내를 제공할 수 있습니다.

🔌 Redis 스토리지 연동과 분산 환경 고려사항

단일 서버 환경에서는 메모리에 요청 카운트를 저장해도 문제가 없지만, 여러 대의 서버가 동시에 운영되는 분산 환경에서는 요청 제한이 서버마다 따로 계산될 수 있습니다.
이 경우 특정 서버에서는 제한을 초과하지 않았다고 판단되지만, 전체적으로는 과도한 요청이 발생할 수 있습니다.
이를 방지하기 위해 Flask-Limiter는 Redis 같은 중앙 집중형 저장소를 지원합니다.

🗄️ Redis 스토리지 연동

from flask_limiter import Limiter
from flask_limiter.util import get_remote_address
from redis import Redis

app = Flask(__name__)
redis_client = Redis(host="localhost", port=6379, db=0)

limiter = Limiter(
    key_func=get_remote_address,
    storage_uri="redis://localhost:6379",
    app=app
)

위 코드처럼 storage_uri에 Redis 주소를 지정하면, 요청 카운트가 모든 서버에서 동일하게 공유됩니다.
따라서 로드밸런싱된 환경에서도 일관된 제한 정책이 유지됩니다.

⚠️ 분산 환경에서 고려해야 할 점

• 🌐로드밸런서 뒤에 있을 경우, 올바른 클라이언트 IP 추출을 위해 X-Forwarded-For 헤더 처리가 필요
• 🔄Redis 장애 시 요청 제한 로직도 영향을 받을 수 있으므로 fallback 전략 준비
• 🛡️Redis 자체에 인증/방화벽을 설정하여 보안 강화

💡 엔드포인트별 제한 전략과 우회 방지 팁

모든 API 요청에 동일한 제한을 적용하는 것은 실무에서 적절하지 않을 수 있습니다.
예를 들어 로그인 시도는 엄격히 제한해야 하지만, 공지사항 조회 같은 공개 API는 비교적 여유로운 제한을 설정할 수 있습니다.
따라서 엔드포인트별로 서로 다른 제한 정책을 두는 것이 효과적입니다.

🔐 엔드포인트별 제한 예시

@app.route("/login")
@limiter.limit("3 per minute")
def login():
    return "로그인 시도"

@app.route("/public")
@limiter.limit("100 per minute")
def public_data():
    return "공개 데이터"

이처럼 중요한 API는 낮은 한도로 보호하고, 상대적으로 부하가 적은 엔드포인트에는 더 높은 한도를 적용하는 방식이 바람직합니다.

🛡️ 요청 제한 우회 방지 팁

일부 사용자는 요청 제한을 우회하기 위해 VPN, 프록시, 봇 등을 활용할 수 있습니다.
이를 완전히 차단하기는 어렵지만, 몇 가지 보완 방법으로 효과를 높일 수 있습니다.

• 🧩CAPTCHA를 로그인, 회원가입 등 중요 엔드포인트에 적용
• 📊비정상적인 트래픽 패턴 모니터링 및 자동 차단 규칙 설정
• 🔍User-Agent 및 헤더 기반 필터링으로 단순 봇 탐지
• 🕵️과도한 요청 발생 시 IP 블랙리스트 또는 Rate 제한 강화

❓ 자주 묻는 질문 FAQ