java - Spring MVC Web 应用程序检测暴力攻击的最佳方法？

Question

Spring 3.0 MVC 中是否有任何特性可以帮助实现对 Web 应用的身份验证/登录页面的暴力攻击检测？

Answer 1

久经考验的做法是在身份验证失败时引入随机但相当大的延迟。

这种方式合法用户将立即登录，但攻击者每次尝试将花费 500ms-1 秒，这使得整个暴力破解想法不切实际(将永远存在)。

合法用户偶尔登录失败只会给他们造成轻微的延迟，并且不会被注意到。

如果您需要在重复登录失败时收到通知，您需要实现一个报告，打印每个用户的相应失败登录次数，按该次数 desc 限制 100 排序。

附: Here是一篇解释如何在登录尝试时获得通知的帖子。我相信，采用同样的方法可能会导致延迟。