security - 这是防止暴力攻击的有效方法吗？

Question

关闭。这个问题需要多问 focused 。目前不接受答案。

---

想要改进此问题吗？更新问题，使其仅关注一个问题 editing this post .

已关闭 1 年前。

Improve this question

我需要您的意见，看看这是否是防止用户登录暴力攻击的有效方法:

1. 如果用户错误地输入帐户密码 5 次，他们将被锁定 5 分钟。
2. 被锁定后，我的数据库中会添加一条记录，其中包含 user_id 以及用户可以尝试重新登录该帐户的时间。
3. 5 分钟结束后，当他们下次尝试登录时，它将检查数据库以查看锁定时间是否已到。如果是，他们还有另外 5 次尝试，如果不是，则显示错误。

这是反暴力证明吗？

谢谢。

Answer 1

有一种非常古老、也是迄今为止最好的防止暴力破解的方法。它起源于多年前的unix，至今仍然有效。实现起来也非常简单:将 sleep(3) 添加到每次登录尝试中。普通用户在登录操作时不会遇到任何需要额外等待 3 秒的问题，再加上适当的防火墙来限制来自单个主机的连接量，这是最有效的暴力 killer 。