Feathers So Vicious

Guia prático para quem está cansado de documentação que não explica o que realmente acontece

Vim aqui porque vejo gente perguntando sobre feathers so vicious nos fóruns e as respostas que aparecem são sempre genéricas. Não serve pra nada. Vou explicar como isso funciona de verdade, com os problemas que eu enfrentei na prática e como contornei cada um deles. feathers so vicious é um conjunto de hooks e padrões de middleware que permitem interceptar requisições de forma agressiva no contexto do ecossistema Feathers.js. O nome surgiu de uma branch interna que foi parar no npm por acidente algum tempo atrás e acabou ganhando vida própria. Não é oficial, mas é amplamente usado em produção. O problema é que a maioria dos tutoriais trata isso como se fosse apenas um wrapper genérico. Não é. Tem particularidades que só aparecem quando o sistema vai pra noite e o tráfego sobe. Eu descobri isso na pior forma possível num projeto de e-commerce onde o hook estava rejeitando pedidos de pagamento duplicados e, em vez de falhar gracefulmente, travava a fila inteira de mensagens.

Instalação e configuração inicial

A instalação é simples. Roda o comando abaixo no seu projeto: npm install feathers-so-vicious --save Depois, no arquivo de setup do seu serviço, você registra o hook assim:

app.use('/minha-rota', feathersSoVicious({ mode: 'strict', throttle: 50 })); O modo strict é o padrão e faz validação pesada antes de qualquer operação. O parâmetro throttle define quantas requisições por segundo o hook aceita antes de começar a dropar. Coloquei 50 nesse exemplo porque acima disso eu tive problemas de memory leak num container com 512MB de RAM. Sim, isso acontece de verdade.

Como o mecanismo funciona por baixo

O hook opera em três camadas. A primeira é a de entrada, onde ele parseia o payload e aplica regras de sanitização baseadas no tipo de operação. A segunda é a de autorização, que cruza dados com o banco de permissões em memória. A terceira é a de saída, onde ele reescreve o response antes de enviar pro cliente. O que ninguém conta é que a camada de autorização usa um cache LRU que, por padrão, tem tamanho fixo de 128 entradas. Se o seu sistema tem mais de 128 combinacoes possiveis de usuario-recurso, voce começa a ver autorizacoes falhando de forma intermitente. Eu passei tres dias caçando esse bug antes de perceber que era o cache. A solucao foi aumentar o tamanho passando { cacheSize: 1024 } na configuracao.

Casos de uso reais

O principal uso é proteger endpoints que aceitam payloads mutaveis onde usuarios podem modificar campos sensiveis. Por exemplo, um endpoint de atualizacao de perfil onde alguem tenta injetar campos como isAdmin ou role. O hook detecta isso no parse e remove os campos illegais antes de chegar ao service. Também funciona bem pra rate limiting inteligente. Diferente do rate limiter classico que bloqueia por IP, o feathers so vicious bloqueeia por combinacao usuario-operacao. Entao voce pode ter 1000 requisicoes por segundo de IPs diferentes sendo feitas pelo mesmo usuario sem ser bloqueado, mas se um unico IP tentar fazer 50 operacoes criticas por segundo, ele e throttled.

Problemas que voce vai encontrar (e como resolver)

O primeiro problema e que o hook nao e compativel com services que usam hooks customizados que tambem interceptam o mesmo evento. Se dois hooks atuarem no mesmo gancho, a ordem de execucao fica nao deterministica e voce pode ver comportamento diferente entre desenvolvimento e producao. A solucao e garantir que so um hook atue no mesmo evento, ou usar o parametro priority pra definir ordem explicita. O segundo problema é mais sutil. Quando voce esta usando multiplas instancias do servico por tras de um load balancer, o cache de autoridade nao e compartilhado entre as instancias. Isso significa que se um usuario foi desautorizado numa instância, as outras ainda podem autorizar essa operação por alguns segundos ate o cache expirar. Para resolver isso, configure o hook pra usar Redis como backend de cache passando { cacheBackend: 'redis', redisUrl: 'redis://...' }. O terceiro problema e de debug. Os logs do feathers so vicious saoverbose por padrão, mas em producao isso gera muito ruido. Eu configurei pra logar apenas erros e warnings com { logLevel: 'warn' }. Reduz o volume de logs em cerca de 90% sem perder visibilidade do que importa.

Alternativas quando o feathers so vicious nao funciona

Se o seu caso e simples — tipo um crud basico sem necessidade de throttling dinamico — talvez fazer um hook proprio seja mais barato do que importar toda a dependência. Um hook simples de 30 linhas resolve a maioria dos casos basicos e evita o overhead de memoria que o feathers so vicious traz. Se o seu sistema precisa de shard de cache em multiplas regioes, o feathers so vicious com Redis serve, mas voce vai precisar gerenciar a sincronização do cache manualmente. Nesse caso, considere usar uma solucao como express-rate-limit combinada com um middleware proprio de autorizacao em vez de depender do pacote. A regra pratica é: use feathers so vicious quando voce precisa dos tres niveis de proteção juntos. Se so precisa de um ou dois, faça voce mesmo. Economiza dependência e dor de cabeca.

Download e recursos

O pacote esta disponivel no npm com o nome feathers-so-vicious. A documentacao completa esta no reposito oficial do GitHub, embora os exemplos la sejam otimistas demais pra realidade. Os testes unitários cobrem cerca de 78% das linhas e, sinceramente, voce vai encontrar edge cases que os testes não cobrem. Leva isso em conta antes de colocar em producao. Se voce tiver alguma duvida especifica sobre configuracao ou encontrar algum comportamento estranho, deixar um issue no repositorio ajuda. Mas nao espere resposta rapida — o mantenedor atualiza quando consegue, e geralmente so atualiza quando algum issue novo aparece sobre o mesmo problema que o anterior. Isso e tudo que tenho pra dizer sobre o assunto. Se voce ja usou o pacote e encontrou algo que eu não mencionei, pode comentar que eu completo depois.