#rate limit

Không có rate limit, form quên mật khẩu thành máy bắn spam miễn phí

Form quên mật khẩu, đăng nhập, gửi OTP không giới hạn số lần gọi thì ai cũng dùng được để spam người khác và đốt tiền email, SMS của bạn. Cách đặt rate limit theo IP, theo tài khoản, trả 429 kèm Retry-After, có code Next.js và Express.