如何限制 Java Web 应用程序中的登录尝试？

Question

我想实现一种有效的机制来限制 Java Web 应用程序中的登录尝试，以防止对用户帐户的暴力攻击。

Jeff 解释了原因，但没有解释方法。

Simon Willison 展示了 Django 的 Python 实现： 这并没有真正帮助我，因为我不能使用 memcached 也不能使用 Django。

从头开始移植他的想法似乎也不是一件好事——我不想重新发明轮子。

我找到了一个 Java 实现，虽然看起来相当天真：它不是 LRU 缓存，而是在 15 分钟后清除所有条目。

EHCache 可能是 memcached 的替代方案，但我没有任何使用它的经验，并且如果有更好的替代方案来完成此任务，我也不想引入另一种技术。

那么，在Java中实现登录限制有什么好方法呢？

Answer 1

我认为即使 EHCache 也在用凝固汽油弹杀死一只苍蝇。 问题很简单，实现也很简单。

我建议在顶层使用 servlet 过滤器，以便尽可能少地进行处理。

创建一个类来存储以下内容：

• 尝试次数（计数）
• 时间

现在，sunchronized 块中的代码很简单：

if userid not in attemptMap:
    attemptMap.add ( userid, new attemptItem ( userid, 1, now ) )
else
    tmp = attemptMap.get ( userid )
    if (acquire lock for tmp) :
      if tmp.time + 30 > now :
          tmp.count = 0
          tmp.time = now
      tmp.count++
      if tmp.count > 3 :
          error=true
      release lock for tmp
    else : error=true

就是这样（只要代码是同步的）。

Answer 2

我刚刚完成了由方面安全性运行的网络安全课程，其中的建议之一是在任何登录尝试中加入自然延迟 - 理论是 1 或 2第二次延迟对于真实用户来说没什么，但会严重阻碍暴力攻击。

Answer 3

没有提到的一个是让他们在多次错误尝试后回答忘记密码的问题+输入密码

Answer 4

EHCache 非常好，更重要的是不是由您编写的，因此您不必重新实现功能并可能出错。

我的解决方案将在登录代码中涉及 ​​EHCache 或更简单的东西（如果它是一个小应用程序并且我并不真正关心并发性能）。

您将为每个 IP 存储失败计数和时间戳。

• 每次尝试登录时，请检查是否允许他们使用失败计数和时间戳。
• 每次进行允许的登录尝试但失败时，将失败计数加 1 并记录失败时间。
• 每次您进行允许的登录尝试并成功时，都会清除该 IP 的信息。

Answer 5

我使用了包含用户详细信息的登录尝试计数字段。 当达到 50 时，正确的密码将被拒绝，用户必须执行密码重置。

Answer 6

如果登录尝试之间的时间呈指数增长怎么办？

Answer 7

维护错误的登录尝试次数，如果达到 N，则阻止用户并要求验证码或重置密码才能继续。