用中文派活，
它读代码、改代码、跑命令
直到任务完成

▌ 给 @src/api/auth.py 的登录接口加限流：同一个 IP 每分钟最多 5 次，超了返回 429，补上测试

● 读取 path=src/api/auth.py
  ⎿ 48 行

好的。我先看一下现有的登录接口和项目里有没有现成的限流工具，再决定怎么加。

⠋ 思考中… (2s · ESC 中断)

● 搜索 pattern=rate_limit|RateLimiter path=src
  ⎿ 3 处
● 找文件 pattern=tests/**/test_auth*.py
  ⎿ 1 个
● 读取 path=src/middleware/limits.py
  ⎿ 62 行

项目里已经有 SlidingWindowLimiter（src/middleware/limits.py），注册接口在用。
登录接口可以直接复用它，按客户端 IP 计数。测试沿用 tests/api/test_auth.py 的 client 夹具。

计划：
 1. auth.py 的 login() 加上限流装饰器（5 次 / 60 秒）
 2. 超限返回 429，带 Retry-After 头
 3. 加两个测试：第 6 次被拒、换 IP 不受影响

╭──────────────────────────── 要执行 修改 ────────────────────────────╮
--- src/api/auth.py
+++ src/api/auth.py
 @router.post("/login")
+@limit(SlidingWindowLimiter(max_calls=5, period=60), key=client_ip)
 async def login(form: LoginForm, request: Request):
╰────────────────────────────────────────────────────────────────────╯
允许吗？
❯ [y] 这次允许
  [a] 本会话一直允许 edit_file
  [p] 以后都允许 edit_file  写进用户配置
  [n] 拒绝  ESC 也是拒绝
↑↓ 选择 · Enter 确定 · ESC 取消

● 运行 pytest tests/api/test_auth.py -q
  FAILED test_login_rate_limited - assert 200 == 429

第 6 次请求没有被拦：测试客户端每次请求的 IP 都是 testclient，但我用的键是
X-Forwarded-For，测试里没带这个头。改成优先取 X-Forwarded-For、没有再用 client.host。

● 修改 src/api/auth.py：替换 2 行
● 运行 pytest tests/api/test_auth.py -q
  7 passed in 0.84s

完成：登录接口限流 5 次 / 分钟，超限返回 429 与 Retry-After；新增 2 个测试，全部通过。

14:20 · 用时 1 分 12 秒 · 9 轮 · 输入 38.2k / 输出 1.6k