asp.net - 限制未登录用户点击链接

Question

我们在主页上有一个链接，出于安全原因，需要防止用户在 Y 分钟内点击该链接 X 次。这是一个服务器端链接按钮，如果超过阈值，我可以返回一条信息消息。

但是，我不确定如何识别用户。我应该使用客户端的 IP 地址吗？我可以对未登录的用户使用 session 吗？

Answer 1

您可以使用 session 存储总点击次数。

但是，如果用户是恶意/聪明的 - 他可以通过拒绝接受 cookie 或加载没有 sessionid 的页面(在无 cookie session 处理的情况下)轻松“丢失” session 。

使用 IP 地址可能可行，但要意识到使用同一网络的人可能具有相同的 IP 地址，因此您可能会意外地碰到一些人。再说一遍，如果您试图阻止 DDOS - 这不会有任何区别，因为他们有一个 IP 列表可供使用。