Как реализовать rate limiting в Node.js?

Базовый rate limiting: express-rate-limit с in-memory store (не масштабируется). Distributed rate limiting: rate-limit-redis store — счётчики в Redis, работает при нескольких инстансах. Стратегии: fixed window (простой, vulnerability на границе окна), sliding window (точнее), token bucket (лучший UX — разрешает burst). Ограничения: по IP (для анонимных), по API key (для authenticated), по userId. Возвращай X-RateLimit-Limit, X-RateLimit-Remaining, X-RateLimit-Reset заголовки. 429 Too Many Requests.