Rate Limiting в ASP.NET Core 7+?

builder.Services.AddRateLimiter(options =>
{
    options.RejectionStatusCode = StatusCodes.Status429TooManyRequests;

    // 1. Фиксированное окно — для логина (защита от перебора паролей)
    options.AddFixedWindowLimiter("login", o =>
    {
        o.PermitLimit = 5;
        o.Window = TimeSpan.FromMinutes(1);
        o.QueueLimit = 0;                              // без очереди — сразу отказ
    });

    // 2. Ограничение параллельности для тяжёлого отчёта
    options.AddConcurrencyLimiter("reports", o =>
    {
        o.PermitLimit = 3;
        o.QueueLimit = 10;                             // до 10 запросов ждут в очереди
        o.QueueProcessingOrder = QueueProcessingOrder.OldestFirst;
    });

    // 3. Token bucket на пользователя (или IP для анонимных)
    options.AddPolicy("per-user", httpContext =>
    {
        var key = httpContext.User.FindFirstValue("sub")
                  ?? httpContext.Connection.RemoteIpAddress?.ToString()
                  ?? "anonymous";
        return RateLimitPartition.GetTokenBucketLimiter(key, _ => new TokenBucketRateLimiterOptions
        {
            TokenLimit = 20,                            // ёмкость ведра (всплеск)
            TokensPerPeriod = 5,
            ReplenishmentPeriod = TimeSpan.FromSeconds(10),
            QueueLimit = 0,
            AutoReplenishment = true
        });
    });

    // Глобальный лимит для всех запросов
    options.GlobalLimiter = PartitionedRateLimiter.Create<HttpContext, string>(ctx =>
        RateLimitPartition.GetConcurrencyLimiter("global", _ => new ConcurrencyLimiterOptions { PermitLimit = 1000, QueueLimit = 0 }));

    // Ответ при отказе
    options.OnRejected = async (ctx, ct) =>
    {
        if (ctx.Lease.TryGetMetadata(MetadataName.RetryAfter, out var retryAfter))
            ctx.HttpContext.Response.Headers.RetryAfter = ((int)retryAfter.TotalSeconds).ToString();
        await ctx.HttpContext.Response.WriteAsJsonAsync(new ProblemDetails
        {
            Status = 429, Title = "Слишком много запросов", Detail = "Повторите позже"
        }, ct);
    };
});

var app = builder.Build();
app.UseRouting();
app.UseAuthentication();
app.UseRateLimiter();              // после аутентификации, если лимиты зависят от пользователя

app.MapPost("/auth/login", Login).RequireRateLimiting("login");
app.MapGet("/reports/sales", SalesReport).RequireRateLimiting("reports");
app.MapGroup("/api").RequireRateLimiting("per-user");
app.MapGet("/health", () => "ok").DisableRateLimiting();