api - 如何防止对 RESTful 数据服务的蛮力攻击

Question

我即将在我们的网站上实现一个 RESTful API(基于 WCF 数据服务，但这可能无关紧要)。

通过这个 API 提供的所有数据都属于我服务器的某些用户，所以我需要确保只有这些用户才能访问我的资源。因此，所有请求都必须使用登录名/密码组合作为请求的一部分来执行。

在这种情况下，防止暴力攻击的推荐方法是什么？

我正在考虑记录由于错误凭据而被拒绝的失败请求，并在超过特定失败请求阈值后忽略来自同一 IP 的请求。这是标准方法，还是我遗漏了一些重要的东西？

Answer 1

由于存在大量 NAT 网关，因此基于 IP 的阻塞本身存在风险。

如果客户端快速发出太多请求，您可能会减慢(tar pit)速度；也就是说，在响应之前故意插入几秒钟的延迟。人类不太可能提示，但你已经放慢了机器人的速度。