From 4356c5f81779b505f94d89eaa791697f4b9cd8f7 Mon Sep 17 00:00:00 2001
From: snowy-yang <102860110+snowy-yang@users.noreply.github.com>
Date: Sat, 26 Sep 2026 18:53:59 +0800
Subject: [PATCH] =?UTF-8?q?fix:=20=E4=BF=AE=E6=AD=A3=E5=BF=83=E8=B7=B3?=
 =?UTF-8?q?=E7=AB=AF=E7=82=B9=E5=9C=A8=E9=99=90=E6=B5=81=E8=B1=81=E5=85=8D?=
 =?UTF-8?q?=E8=A1=A8=E4=B8=8E=E9=99=90=E6=B5=81=E8=B0=83=E7=94=A8=E9=87=8C?=
 =?UTF-8?q?=E8=87=AA=E7=9B=B8=E7=9F=9B=E7=9B=BE?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

为什么：/api/task/heartbeat 同时出现在两处——
  1. guard() 开头的 _EXEMPT_PATHS 豁免表里（命中就直接 return，不进桶）
  2. task_heartbeat 自己的 guard(bucket='hb', limit=60) 调用里
结果 guard 在进入桶之前就被豁免表放行，hb 桶的 60/分限额写了等于没写，
心跳端点实际处于无限制状态。

改法：把 /api/task/heartbeat 从 _EXEMPT_PATHS 移除，让它真正走到 hb 桶。
保留 /api/queue 与 /api/batch_progress 的豁免（它们被高频轮询且无自带桶）。

顺带修正上一轮的一处误判：原以为「手写滑动窗口在多 worker 下会放大限额」，
实测 Dockerfile / docker-compose.yml / entrypoint.sh 全是单进程
python3 web/main.py（uvicorn.run 无 --workers），进程内内存窗口是正确实现，
该顾虑不成立。
---
 web/ratelimit.py | 7 +++++--
 1 file changed, 5 insertions(+), 2 deletions(-)

diff --git a/web/ratelimit.py b/web/ratelimit.py
index a66d657..769806f 100644
--- a/web/ratelimit.py
+++ b/web/ratelimit.py
@@ -13,9 +13,12 @@ from core.config import RESULT_RETENTION_SECONDS  # noqa: F401 - 再导出，与
 from core.state import RATE_BUCKETS, RATE_LOCK
 from web.errors import AppError
 
-# 免于限流的端点（试听流/进度轮询）
+# 免于限流的端点（试听流/进度轮询）。
+# 注意 /api/task/heartbeat 不在此列：它自带 hb 桶（60/分），此前的豁免表
+# 让 guard 在进入桶之前就直接返回，限额写了等于没写——心跳端点是唯一
+# 在豁免与限流两处同时出现的路径（/api/queue、/api/batch_progress 本就不调 guard）。
 _EXEMPT_PREFIXES = ('/audio_stream',)
-_EXEMPT_PATHS = {'/api/queue', '/api/batch_progress', '/api/task/heartbeat'}
+_EXEMPT_PATHS = {'/api/queue', '/api/batch_progress'}
 
 
 def client_ip(request: Request) -> str: