Rate Limiting کیا ہے؟ ایپ بنانے والوں کے لیے سادہ رہنما

Rate limiting ایک ایسا اصول ہے جو کسی سسٹم سے کوئی شخص ایک مقررہ وقت میں کتنی درخواستیں کر سکتا ہے، اس پر حد لگاتا ہے، مثلاً فی منٹ 5 لاگ اِن کوششیں، یا فی گھنٹہ 100 API کالز۔ حد پوری ہونے کے بعد مزید درخواستیں مسترد کر دی جاتی ہیں (عموماً خرابی کوڈ 429 Too Many Requests کے ساتھ) جب تک وقفہ دوبارہ شروع نہ ہو۔ یہ ایپس کو بدسلوکی سے بچاتا ہے، ایک بھاری صارف کو سب کے لیے سست ہونے سے روکتا ہے، اور بے قابو اخراجات کو روکتا ہے۔

آپ کا اس سے دو طرف سے واسطہ پڑتا ہے: وہ سروسز جنہیں آپ کال کرتے ہیں آپ کو محدود کرتی ہیں، اور آپ کی اپنی ایپ کو اپنے صارفین کو محدود کرنا چاہیے۔

AI کے ساتھ بناتے وقت rate limiting کیوں اہم ہے

AI سے بنی ایپس اکثر ایسی ادائیگی والی سروسز سے جڑتی ہیں جیسے AI ماڈلز، ای میل، SMS، نقشے، اور ہر کال پر پیسہ خرچ ہوتا ہے۔ اس لیے rate limiting سیکیورٹی کا فیچر بھی ہے اور بجٹ کا بھی۔

• لاگت پر قابو۔ اگر آپ کی ایپ میں "AI سے پوچھیں" باکس ہے اور کوئی حد نہیں، تو ایک بوٹ رات بھر میں ہزاروں درخواستیں بھیج سکتا ہے۔ ہر ایک کا پیسہ آپ دیتے ہیں۔
• سیکیورٹی۔ لاگ اِن فارم پر حد نہ ہو تو حملہ آور کسی اکاؤنٹ کے لیے ہزاروں پاس ورڈ آزما سکتا ہے۔ فی منٹ چند کوششوں کی حد اسے ناقابلِ عمل بنا دیتی ہے۔
• آن لائن رہنا۔ ایک غلط برتاؤ کرنے والی اسکرپٹ، بعض اوقات آپ کا اپنا کوڈ جو لوپ میں پھنس جائے، آپ کے ڈیٹا بیس کو بوجھل کر کے ایپ بند کر سکتا ہے۔
• دوسری سروسز کی حدوں کا احترام۔ جب آپ کی ایپ کسی بیرونی API کو بہت زیادہ کال کرتی ہے تو 429 خرابیاں آپ کو ملتی ہیں، اور آپ کے صارفین کے فیچرز ٹوٹ جاتے ہیں۔

AI بلڈرز وہی بنائیں گے جو آپ مانگیں۔ اگر آپ حدوں کا ذکر نہیں کرتے تو وہ اکثر چھوڑ دی جاتی ہیں۔

ایک روزمرہ کی مثال

کافی شاپ کی مفت ری فل پالیسی کا تصور کریں: "ہر گاہک کو ہر وزٹ پر ایک مفت ری فل۔"

• یہ کسی کو کافی سے لطف اندوز ہونے سے نہیں روکتا۔
• یہ کسی ایک شخص کو کاؤنٹر پر پورا دن کھڑے ہو کر پورے دفتر کے لیے فلاسک بھرنے سے روکتا ہے۔
• جب کوئی چوتھی ری فل مانگتا ہے تو بیریسٹا شائستگی سے کہتا ہے "ابھی نہیں" — یہی وہ 429 ہے۔

ایک اچھی rate limit عام گاہکوں کو نظر نہیں آتی اور صرف کسی غیر معمولی کام کرنے والے کو محسوس ہوتی ہے۔

rate limiting کیسے کام کرتا ہے

Rate limiter کو تین چیزیں درکار ہیں:

جب درخواست آتی ہے تو ایپ اس "کون" کی گنتی دیکھتی ہے۔ حد کے اندر: درخواست آگے جاتی ہے اور گنتی بڑھتی ہے۔ حد سے باہر: درخواست مسترد۔

گنتی کے کچھ عام طریقے یہ ہیں:

گنتیوں کو کسی تیز اور مشترکہ جگہ پر محفوظ ہونا چاہیے۔ ایک چھوٹے سرور پر یادداشت (memory) کام کر جاتی ہے۔ لیکن جب ایپ کئی مشینوں پر چلے تو گنتی عموماً Redis جیسے مشترکہ ذخیرے یا ڈیٹا بیس میں رکھی جاتی ہے، ورنہ ہر مشین اپنی گنتی کرے گی اور اصل حد کئی گنا بڑھ جائے گی۔

حد سے زیادہ درخواست کا جواب کیسا ہوتا ہے

جب کوئی درخواست حد سے زیادہ ہو تو ایک اچھی طرح بنی API یہ جواب دیتی ہے:

• اسٹیٹس کوڈ 429 Too Many Requests۔
• اکثر ایک Retry-After ہیڈر، جو بتاتا ہے کہ کتنے سیکنڈ انتظار کرنا ہے۔
• کبھی کبھی ہیڈرز جو آپ کی حد اور اس وقفے میں باقی درخواستیں دکھاتے ہیں (نام فراہم کنندہ کے مطابق مختلف ہوتے ہیں)۔

آپ کی ایپ کو 429 پر انتظار کرکے بعد میں دوبارہ کوشش کرنی چاہیے، ترجیحاً exponential backoff کے ساتھ، یعنی ہر ناکام کوشش کے بعد کچھ زیادہ انتظار (1 سیکنڈ، پھر 2، پھر 4)، بجائے اس کے کہ سروس پر بار بار ہتھوڑے برسائے جائیں۔

ایک عملی مثال: AI رائٹنگ اسسٹنٹ

فرض کریں آپ نے ایک ایپ بنائی ہے جہاں صارفین متن چسپاں کرتے ہیں اور AI سے دوبارہ لکھوا لیتے ہیں۔

حد کے بغیر: کوئی اسکرپٹ رات بھر میں 20,000 درخواستیں بھیجتی ہے۔ آپ کا AI فراہم کنندہ کا بل بڑھ جاتا ہے، اور آپ کا اکاؤنٹ فراہم کنندہ کی اپنی rate limit تک پہنچ جاتا ہے، تو اصل صارفین کو صبح بھر خرابیاں نظر آتی ہیں۔

مناسب حدوں کے ساتھ:

1. لاگ اِن صارف فی: مفت پلان پر فی گھنٹہ 30 دوبارہ لکھوائیاں، ادا شدہ پلان پر 300۔ حد سے زیادہ ہونے پر صارف کو نظر آتا ہے: "اس گھنٹے کی حد پوری ہو گئی ہے۔ 12 منٹ بعد دوبارہ کوشش کریں، یا اپ گریڈ کریں۔"
2. سائن اپ فارم پر IP پتہ فی: فی گھنٹہ 5 سائن اپس، تاکہ بوٹس ہزاروں مفت اکاؤنٹ بنا کر فی صارف حد کو نہ توڑیں۔
3. AI فراہم کنندہ کے ڈیش بورڈ میں خرچ کی حد، آخری دفاعی لکیر کے طور پر اگر باقی سب ناکام ہو جائے۔
4. فراہم کنندہ کی حدوں کو سنبھالنا: اگر AI فراہم کنندہ 429 لوٹائے تو آپ کا سرور ایک یا دو بار انتظار کر کے دوبارہ کوشش کرتا ہے، پھر ایک دوستانہ پیغام دکھاتا ہے کہ "سسٹم مصروف ہے، دوبارہ کوشش کریں۔"

حدیں سرور پر جانچی جاتی ہیں۔ ایسی حد جو صرف براؤزر میں ہو، مثلاً 30 کلک کے بعد بٹن غیر فعال کرنا، کوئی بھی شخص آپ کی API کو براہِ راست کال کر کے نظرانداز کر سکتا ہے۔

اہم اصطلاحات

عام غلط فہمیاں

• "Rate limiting صرف بڑی ایپس کے لیے ہے۔" چھوٹی ایپس بھی ہدف ہوتی ہیں، کیونکہ بوٹس کھلے فارمز اور AI endpoints کے لیے پوری انٹرنیٹ اسکین کرتے ہیں۔ بدسلوکی کی لاگت آپ کے سائز پر منحصر نہیں۔
• "بٹن چھپا دینا کافی ہے۔" براؤزر کی طرف کی حدیں ایک مہربانی ہیں، تحفظ نہیں۔ اصل حدیں سرور پر نافذ ہونی چاہئیں۔
• "فی IP حدیں ہمیشہ منصفانہ ہوتی ہیں۔" بہت سے لوگ ایک IP پتہ شیئر کرتے ہیں، جیسے دفتر، اسکول یا موبائل نیٹ ورک۔ لاگ اِن ہونے کے بعد فی صارف حدیں زیادہ منصفانہ ہوتی ہیں۔
• "429 کا مطلب ہے سروس خراب ہے۔" اس کا مطلب ہے کہ آپ اسے بہت زیادہ کال کر رہے ہیں۔ اپنا کوڈ لوپس کے لیے چیک کریں، اور جو نتائج بار بار نہیں بدلتے انہیں کیش کریں، دیکھیں کیشنگ کیا ہے۔
• "Rate limiting خرچ کی حد کی جگہ لے لیتا ہے۔" دونوں استعمال کریں۔ ایپ کی حدوں میں بگ ہو سکتے ہیں؛ فراہم کنندہ کی خرچ کی حد آپ کی آخری ضمانت ہے۔

AI بلڈر سے کیا پوچھیں

• "لاگ اِن، سائن اپ، پاس ورڈ ری سیٹ اور AI endpoint پر سرور کی طرف سے rate limiting شامل کریں۔ معقول حدیں تجویز کریں۔"
• "ہر لاگ اِن AI صارف کو فی گھنٹہ [N] AI درخواستوں تک محدود کریں، اور حد پر انتظار کے وقت کے ساتھ واضح پیغام دکھائیں۔"
• "جب کوئی بیرونی API 429 لوٹائے تو 3 بار تک exponential backoff کے ساتھ دوبارہ کوشش کریں، پھر ایک دوستانہ خرابی دکھائیں۔"
• "rate-limit کے کاؤنٹرز کہاں محفوظ ہیں؟ اگر ایپ ایک سے زیادہ مشینوں پر چلے تو کیا وہ تب بھی کام کریں گے؟"
• "جب بھی کوئی صارف یا IP حد تک پہنچے، لاگ کریں تاکہ بدسلوکی کو پہچانا جا سکے۔"
• "یہ ایپ کون سی بیرونی سروسز کال کرتی ہے، اور ان کی rate limits کیا ہیں؟"

Mythex میں Rate limiting

Mythex کی دستاویزات AI فیچرز کے بارے میں صاف ہیں: آپ کی بنائی ہوئی ایپس میں rate limits، حفاظتی اور لاگت کے کنٹرول آپ کے ڈیزائن کرنے کی ذمہ داری ہیں، دیکھیں AI ایپ بنائیں۔ فیچر کے ساتھ ہی ایجنٹ سے حدیں شامل کرنے کو کہیں۔ Pro پر، شائع شدہ سروس زیادہ ٹریفک کے وقت تین مشینوں تک چل سکتی ہے (دیکھیں Hosting limits)، اس لیے ایسے کاؤنٹرز مانگیں جو ایک سرور کی یادداشت کے بجائے ڈیٹا بیس میں رہیں۔

متعلقہ مطالعہ: API کیا ہے، LLM APIs کیسے استعمال کریں اور AI سے بنی ایپس کے لیے سیکیورٹی چیک لسٹ۔

سوالات