java - Spring Security 无状态暴力保护防止凭证猜测

Question

在多次尝试失败后，我需要忽略来自 IP 地址的身份验证尝试，以防止凭据猜测。

有很多关于 Spring Security 暴力保护的博客文章。但我发现，他们都提出了内存中的解决方案，如下所示:

https://www.baeldung.com/spring-security-block-brute-force-authentication-attempts

我工作的应用程序是无状态的，但需要提供强力保护。实现这一点的合理方法是什么？

Answer 1

正如您所指出的，本文中描述的方法将登录尝试次数保留在内存中。我认为你仍然可以(并且应该)在无状态应用程序中这样做。 “无状态”通常是指不使用服务器上的 HTTP session 来跟踪 HTTP 请求之间的任何用户状态。

如果不使用服务器上的一些内存，就无法跟踪 HTTP 请求。我不会担心这是否符合“无状态”的定义。

我们正在使用一种非常相似的方法(受到同一篇文章的启发)来防止在完全无状态的 Spring REST 服务中进行暴力登录尝试，并且它对我们来说效果很好。

编辑:我可以想到另一种方法:您可以使用fail2ban来解析您的应用程序日志并(暂时)禁止“较低”级别的恶意IP地址。