je conçois une API RESTful qui est destiné à être consommé par une application d'une seule page et une application mobile native. Certains appels de cette API renvoient des résultats publics qui peuvent être mis en cache pendant un certain temps. De plus, il y a un besoin de protection de taux pour protéger L'API contre les utilisateurs non autorisés (araignées)

puis-je utiliser Cloudflare pour mettre en œuvre la mise en cache et la protection de débit limité / DDOS pour mon API RESTful?

mise en Cache: Cloudflare prise en charge des Headers de contrôle de cache HTTP ainsi L'API peut décider pour chaque entité demandée via GET si elle est publique et combien de temps elle peut être mise en cache.

• Toutefois, c'est pas clair si l'en-tête cache control est aussi passé en aval au client, donc va aussi déclencher le navigateur pour mettre en cache la réponse? Cela n'est peut-être pas souhaitable, car cela pourrait rendre le dépannage plus difficile
• Akamai a un en-tête Edge-Control pour s'assurer que le contenu est mis en cache en CDN mais pas le navigateur. peut-on faire quelque chose de semblable avec Cloudflare?

protection DDOS: Cloudflare support a un article recommandant que la protection DDOS soit désactivée pour les IPA d'arrière-plan, mais cela ne s'applique pas à mon cas d'utilisation où chaque client est censé faire quelques requêtes à l'API. La protection DDOS native correspond en fait à mes exigences de protection de L'API contre les bots.

• j'ai besoin de savoir comment je peux par programmation à détecter quand Cloudflare propose un Captcha/je suis sous attaque etc. page cela permettrait alors à L'application SPA / mobile de réagir intelligemment, et de rediriger l'utilisateur vers une vue web où elle peut démontrer son "hummanness".

• à partir de la documentation Cloudflare, il n'est pas évident de savoir quel code de statut HTTP est envoyé lorsqu'une contestation DDOS est présentée. Un open-source cloudscraper pour contourner la protection DDoS Cloudflare semble indiquer que les pages Captcha et challenge sont livrées avec le statut HTTP 200. y a-t-il un meilleur moyen que d'analyser le corps de la demande pour savoir si la protection DDOS est entrée en jeu?

• Cloudflare apparemment, utilise des cookies pour enregistrer qui a résolu le Captcha avec succès. Cela crée évidemment une certaine complexité supplémentaire avec des applications natives. Est il y a une bonne façon de transférer les cookies de session Cloudflare de nouveau à une application native après le défi a été résolu?

il s'agit probablement d'un cas d'utilisation avancé de Cloudflare - mais je pense que c'est prometteur et je serais heureux d'entendre si quelqu'un a de l'expérience avec quelque chose comme ça (sur Cloudflare ou un autre CDN).