防洪：会话或数​​据库存储ips

Question

现在我在所有网站中使用防洪功能：

function flood($name,$time)
{
 $name = 'tmptmptmp'.$name;
 if(!isset($_SESSION[$name]))
 {
  $_SESSION[$name] = time();
  return true;
 }
 else
 {
  if(time()-$time > $_SESSION[$name])
  {
   $_SESSION[$name] = time();
   return true;
  }
  else
  {
   return false;
  }
 }
}

我这样使用它：

if(flood('post',60)) do something;
else 'you're posting too fast';

这种方式安全吗？或者我是否需要用存储 ips 的数据库表替换/完成它并检查他们是否之前发出了请求？

Answer 1

这取决于。您的用户清除 cookie 以绕过您的防洪保护的可能性有多大？我想说，如果他们必须再次登录，99% 的用户甚至不会打扰。

但是当然，如​​果您确实想要更好的方法，请将 ip 存储在数据库中。但即便如此，也可以通过获得新的 IP 来克服这一点。