java - 如何跟踪 Java/Tomcat 中的登录尝试并在 x 尝试后显示用户被锁定的消息？

Question

我的问题与以下两个问题有些相似，但我认为它们并没有完全针对我的特定情况提供解决方案:

How to track login attempts using HttpSession in Java?

Should I use cookies or sessions to store login attempts and current login status?

这是瘦子。

用户通过 JSP 网页登录。表单提交给外部供应商创建的登录验证 servlet。 我不能修改这个 servlet，也不能以编程方式验证服务器。不是我不知道如何修改它，而是出于商业原因，我不能碰它。

用户的凭据保存在特定于同一供应商的数据库中。如果登录尝试失败，则返回给用户返回登录页面。

综上所述，如果用户被锁定，我需要向用户显示一条消息。锁定机制由供应商控制，所以我不必担心。用户在 x 次尝试后被锁定。因此，假设用户在 10 次登录尝试后被系统锁定。如果我可以控制登录身份验证 servlet，则显示消息会相对容易。我的想法是创建一个映射到登录身份验证 servlet 的 servlet 过滤器。但是，由于 servlet 过滤器在处理映射的 servlet/url 之前触发，因此我最多只能验证用户 x-1 次尝试。

在第 x 次尝试时，过滤器在身份验证 servlet 检查用户凭据之前触发。假设用户的凭据不正确。用户将被踢回登录页面。现在我该怎么办？ 我不能假设用户使用一个用户名。也许他尝试了一些用户名/密码凭据的某种组合来登录。本质上，我遇到的是用户必须有 x+1 次登录尝试失败才能显示锁定消息。即，用户在 10 次尝试后在技术上被锁定，但锁定消息只会在 11 次或更多次尝试后显示。

我不太确定在所有这些限制条件下尝试 x 次后如何显示锁定消息。

完全清楚，在这个提议的 servlet 过滤器中，我没有创建也无法控制的供应商数据库表跟踪每个用户名的尝试次数。因此，在为了让我验证用户是否被锁定，我查看了这张表。当然，我需要在登录页面输入的用户名才能这样做。 我没有在代码中汇总登录尝试。数据库表会处理这个问题。

我的问题是我需要在 x 次尝试特定用户名后在登录页面上显示一条消息。使用 servlet 过滤器，在登录身份验证 servlet 之前触发，我只能在 x+1 次尝试特定用户名后显示它。同样，我不能假设坐在电脑前的人使用同一个用户名，或者同一个人一直坐在那儿。同一台计算机上可能有来自不同用户名的多次登录尝试。

如果真的没有可行的办法，只能在供应商的servlet中添加锁定验证，那么我会尝试插入。否则，我不确定我能做什么。

感谢您的帮助。

Answer 1

如果登录失败，重定向如何工作？如果它发送 HTTP 401，那么您可以在调用 chain.doFilter 之后但在从您自己的 doFilter 返回之前进行检查。将登录失败的次数存储在HttpSession中，当次数达到10时将其引导出去；