如何处理延迟，防止多次登录/注册尝试

Question

我想以某种方式来保护我的登录/注册表单不受多个，无效，登录尝试或多个用户注册（例如机器人）的影响。 我在Cookie会话中设置了一些值，告诉服务器端脚本在处理请求时应用时间延迟。延迟取决于尝试次数并增加延迟。 这是做这件事的正确方法吗？请注意，如果未启用Cookie支持，表单将无法使用。

Answer 1

不可以。客户可以通过他们想要的任何cookie。攻击者可以选择不发送告诉服务器缓慢的cookie。

焦点坑的常见实现是通过IP地址存储尝试（它们不能用TCP来欺骗IP地址，因为它是基于连接的，而不是无连接的）。如果失败的尝试超过阈值，然后减慢它（一个简单的暂停/睡眠将会），但不会逐渐变慢。

这个想法是，如果一次共享IP地址的合法用户速度很慢（因为他们很可能首次成功登录），它们不会受到很大影响，但自动化攻击变得很难，因为它显着减慢它们的速度。尝试像5秒钟。