現在應用中，大部分都有登錄模塊——獲取系統權限的第一道防線。面對登錄框，黑客有很多攻擊手段，暴力破解就是其中一種低成本攻擊方法。所以登錄次數限制功能成為了必要的防護措施。

---

一、應用場景與設計目的

1. 應用場景

• 防御暴力破解攻擊：攻擊者嘗試通過自動化工具測試大量用戶名和密碼組合。
• 防止資源濫用：惡意用戶可能通過頻繁的登錄嘗試，增加服務器負擔，甚至造成拒絕服務。
• 提高用戶數據安全性：通過限制失敗嘗試，保護用戶的敏感信息不被非法訪問。

2. 設計目的

• 安全性：通過限制失敗次數和時間窗口，降低賬戶被暴力破解的風險。
• 用戶體驗：提供適度的限制和友好的提示信息，避免對正常用戶造成過多干擾。
• 靈活性：支持基于用戶、IP或設備的多維度限制規則，適應不同場景需求。
• 性能與擴展性：方案應在高并發環境下高效運行，并支持分布式部署。

---

二、功能設計

1. 登錄限制規則

• 失敗次數限制：在固定時間窗口內（如5分鐘）限制嘗試登錄的次數（如最多5次）。
• 鎖定機制：超過限制后，賬號或IP在一段時間內無法登錄（如10分鐘）。
• 逐步增加懲罰：對于多次超過限制的用戶，可動態增加鎖定時間。

2. 解鎖機制

• 自動解鎖：等待鎖定時間結束后自動解除限制。
• 管理員手動解鎖：在后臺管理系統提供手動解鎖的功能。
• 多級驗證：對于惡意嘗試較多的用戶，強制加入額外驗證（如驗證碼）。

3. 適用維度

• 用戶級別：限制特定用戶名的登錄嘗試。
• IP級別：限制特定IP地址的頻繁嘗試，防止分布式攻擊。
• 設備級別：針對特定設備標識限制嘗試。

---

三、技術實現

1. 數據存儲

為了高效記錄和管理登錄嘗試信息，推薦使用緩存系統（如 Redis）。它具有高性能、自動過期和分布式支持的特點。

數據結構設計：

• 鍵：login_attempts:{username} 或 login_attempts:{ip}
• 值：記錄失敗次數。
• 過期時間：失敗記錄的生存周期（如5分鐘）。

2. 邏輯流程

以下是登錄次數限制的基本流程：

1. 檢查當前用戶或IP是否已被鎖定：

   • 如果鎖定，提示用戶鎖定狀態及剩余時間。

2. 驗證用戶名和密碼：

   • 成功：清除失敗記錄。
   • 失敗：增加失敗次數，更新過期時間，提示剩余嘗試次數。

3. 當失敗次數超過限制時：

   • 鎖定賬戶或IP，記錄鎖定時間。

   

3. 實現代碼示例

先引入redis依賴

<dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-data-redis</artifactId>
</dependency>

以下為 Java 偽代碼，展示登錄限制的基本實現。后面注入這個bean，根據上面流程圖在對應的地方調用方法就可以了。

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.data.redis.core.RedisTemplate;
import org.springframework.stereotype.Service;import java.util.concurrent.TimeUnit;@Service
public class LoginAttemptService {private final int MAX_ATTEMPTS = 5; // 最大失敗次數private final long LOCK_TIME = 15; // 鎖定時間，單位：分鐘@Autowiredprivate RedisTemplate<String, Object> redisTemplate;private String getRedisKey(String username) {return "login_attempt:" + username;}public void loginFailed(String username) {String redisKey = getRedisKey(username);Integer attempts = (Integer) redisTemplate.opsForValue().get(redisKey);if (attempts == null) {redisTemplate.opsForValue().set(redisKey, 1, LOCK_TIME, TimeUnit.MINUTES);} else {redisTemplate.opsForValue().increment(redisKey);}}public void loginSucceeded(String username) {redisTemplate.delete(getRedisKey(username));}public boolean isLocked(String username) {String redisKey = getRedisKey(username);Integer attempts = (Integer) redisTemplate.opsForValue().get(redisKey);if (attempts != null && attempts >= MAX_ATTEMPTS) {return true;}return false;}public long getRemainingLockTime(String username) {String redisKey = getRedisKey(username);return redisTemplate.getExpire(redisKey, TimeUnit.SECONDS);}
}

4. 動態鎖定時間

這里你可以想辦法保留先前登錄失敗的次數，每錯一次就增加鎖定的時間（類似iPhone）。

鎖定時間可以隨著失敗次數增加，采用指數遞增策略：

• 第一次鎖定：5分鐘。
• 第二次鎖定：15分鐘。
• 第三次鎖定：30分鐘。

偽代碼如下：

private long calculateLockTime(int attempts) {return (long) Math.pow(2, attempts - MAX_ATTEMPTS) * LOCK_TIME;
}

---

四、安全增強與擴展

1. 防止用戶名枚舉

攻擊者可能通過系統錯誤提示，判斷用戶名是否存在。為此：

• 登錄失敗統一返回：“用戶名或密碼錯誤”。

2. 加入驗證碼

在嘗試次數接近上限時，強制用戶通過驗證碼驗證，增加破解難度。

3. 監控與報警

記錄登錄失敗日志，通過分析大規模失敗嘗試，發現并阻止潛在的暴力破解行為。

4. 分布式支持

在分布式系統中，使用統一的緩存（如 Redis）存儲失敗記錄，保證所有實例共享數據。

---

五、設計思考

1. 如何平衡安全與用戶體驗？
   • 過于嚴格的限制可能導致誤鎖定正常用戶，建議提供解鎖選項（如通過郵箱驗證）。
2. 如何應對復雜攻擊場景？
   • 對于分布式暴力破解，需結合IP限制和設備指紋等多維度數據分析。
3. 是否需要提供自定義規則？
   • 根據業務場景，允許管理員配置失敗次數、鎖定時間等規則，以適應不同的安全需求。

---

六、總結

1. 如何平衡安全與用戶體驗?
   • 過于嚴格的限制可能導致誤鎖定正常用戶，建議提供解鎖選項（如通過郵箱驗證）。
2. 如何應對復雜攻擊場景？
   • 對于分布式暴力破解，需結合IP限制和設備指紋等多維度數據分析。
3. 是否需要提供自定義規則？
   • 根據業務場景，允許管理員配置失敗次數、鎖定時間等規則，以適應不同的安全需求。

登錄次數限制是一項核心的安全功能，它不僅能有效防御暴力破解攻擊，還能增強系統的整體安全性。在實現過程中，應兼顧安全性、用戶體驗與系統性能。同時，通過動態調整規則、加入驗證碼和增強監控，可以進一步提升系統的防護能力。

博客主頁: 總是學不會.