a620906209
a97a7d096c
Run Tests / test (pull_request) Successful in 2m2s
事後補齊本次稽核修補的 OpenSpec 歷史紀錄（proposal / design / tasks / 規格增量），主規格已於實作時直接更新，本 archive 僅為 變更軌跡。design.md 記錄 5 項關鍵決策（artisan command 取代 HTTP 端點、10/min 為基準、列表過濾而非禁止上架等）。 Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
909 B
909 B
MODIFIED Requirements
Requirement: 登入頻率限制
後端 SHALL 對所有登入端點套用 IP-based 頻率限制，超過限制時回傳 HTTP 429。Member 與 Provider 每 IP 每分鐘最多 10 次（原定 5 次；帳號鎖定機制上線後已涵蓋暴力破解防護，放寬以容納共享 IP 場景，與實作 throttle:10,1 一致）；Admin 因影響範圍更廣，限制為每 IP 每分鐘最多 3 次。
Scenario: Member / Provider 正常登入不受影響
- WHEN 同一 IP 在 1 分鐘內對
/api/member/login或/api/provider/login送出 10 次以內的請求 - THEN 請求正常處理，回傳對應的登入結果（200 成功或 401 失敗）
Scenario: Member / Provider 超過頻率限制
- WHEN 同一 IP 在 1 分鐘內送出第 11 次 member 或 provider 登入請求
- THEN 回傳 HTTP 429，並帶有
Retry-Afterheader 指示等待時間