防止暴力破解：账户锁定、验证码与限速

暴力破解攻击是黑客通过自动化工具不断尝试用户名和密码组合，直到猜对为止的攻击方式。对于任何在线系统而言，保护登录入口免受此类攻击至关重要。本教程将介绍三种核心防御手段：账户锁定、验证码与限速，帮助你从零开始构建安全的登录防护策略。

什么是暴力破解？

在深入防御之前，先理解攻击原理。攻击者利用大量常见密码字典或随机生成组合，配合已知或枚举出的用户名，反复向登录接口发送请求。一旦成功，即可获得账户控制权。防御的核心思路是：提高攻击成本，降低试错效率。

防御手段一：账户锁定策略

账户锁定是当系统检测到某个账户在短时间内连续登录失败达到一定次数后，暂时禁止该账户继续尝试登录。这是一种直接阻断攻击路径的手段。

锁定规则设计要点

• 失败阈值：设置合理的失败次数（如5次），过高则攻击者有机可乘，过低则用户容易因手误被锁。
• 锁定时长：临时锁定（如15分钟）比永久锁定更友好，能自动恢复，避免运维负担。
• 锁定计数器重置：成功登录后应立即清零失败计数；锁定期满后也应将计数器归零或允许重试。
• 锁定状态通知：向用户明确提示“账户已被临时锁定，请于XX分钟后重试”，避免困惑。

实现注意事项

1. 锁定与账户标识绑定：不要仅针对IP地址，因为攻击者可能切换IP；应锁定被攻击的用户账户本身。
2. 管理后台解锁机制：为客服提供手动解锁能力，并记录操作日志。
3. 防御撞库攻击：对于利用已泄露密码库尝试登录的攻击，账户锁定同样有效，但需注意攻击者可能同时对大量用户进行低频尝试（即“密码喷射”）。此时可结合下文中的速率限制。

简单伪代码示例

function login(username, password) {
    user = db.find(username);
    if (user.isLocked()) {
        if (user.lockExpireTime > now()) {
            return "账户已锁定，请稍后重试";
        } else {
            user.unlock(); // 锁定期满，解除锁定
        }
    }
    if (checkPassword(password, user.passwordHash)) {
        user.resetFailedAttempts();
        return "登录成功";
    } else {
        user.incrementFailedAttempts();
        if (user.failedAttempts >= MAX_ATTEMPTS) {
            user.lock(LOCK_DURATION);
            return "失败次数过多，账户已锁定";
        }
        return "用户名或密码错误";
    }
}

防御手段二：验证码

验证码（CAPTCHA）用于区分人类用户和自动化脚本，能有效阻止机器人进行大规模登录尝试。

验证码类型选择

• 传统图文验证码：扭曲字符识别，成本低，但用户体验较差，且可被OCR破解。
• 行为式验证码：如滑块拼图、点击图中指定物体，用户体验好，安全性较高。
• 无感验证/风险分析：如Google reCAPTCHA v3，通过鼠标轨迹、浏览特征等打分，不中断用户操作，仅在可疑时弹出挑战。

部署位置与策略

• 初始就展示：在登录表单始终显示验证码，安全性最高，但用户体验打折。
• 按需展示：正常登录时不显示，仅当同一账户或IP失败次数达到阈值（如3次）后要求输入验证码。平衡安全与体验。
• 后端校验不可少：前端生成的验证码令牌必须由服务端向验证码服务提供方二次校验，绝不可仅在前端判断。

实现示例（以reCAPTCHA v2为例）

1. 在前端登录表单中嵌入reCAPTCHA组件。
2. 用户完成验证后，获得一次性令牌。
3. 提交表单时，将令牌随用户名密码一起发送到后端。
4. 后端调用reCAPTCHA验证API，确认令牌有效后再进行密码校验。

防御手段三：速率限制

速率限制（Rate Limiting）控制单位时间内允许的登录尝试次数，从请求频率角度压制暴力破解，不仅保护账户，也保护整体系统资源。

速率限制维度

• 基于IP：对单个IP地址限制请求数，是最基本的做法。但攻击者可使用代理池绕过。
• 基于账户：对特定用户名的登录尝试进行频率限制，有效防止账户爆破。
• 全局限制：控制整个登录接口的总请求量，防止流量过载。
• 组合限制：最健壮的方案是同时按IP和账户双重限制，并设置二级阈值。

常用算法

• 固定窗口计数器：简单易懂，但在窗口边界可能出现请求量尖峰。
• 滑动窗口日志：精确但消耗内存，记录每次请求时间戳。
• 令牌桶算法：允许一定突发，平滑流量，广泛应用于网关。

推荐阈值设置

超过限制后，返回HTTP 429 Too Many Requests状态码，并可在响应头中包含 Retry-After 建议重试时间。

实现建议

• 使用成熟的中间件，如Nginx的 limit_req 模块、Express 的 express-rate-limit、Spring Cloud Gateway 的 RequestRateLimiter。
• 将限制状态存储在 Redis 等集中式缓存中，以便在多实例集群中共享计数。

多层防御组合策略

单靠一种手段难以面面俱到，最佳实践是将三者有机结合：

1. 第一层：速率限制（网络层/应用层入口），挡住大部分自动化扫描。
2. 第二层：验证码，在通过速率限制后仍出现可疑行为时触发，增加人工智能门槛。
3. 第三层：账户锁定，作为最后防线，保护账户本身不被攻破。

典型触发流程：

登录请求 -> 全局/IP速率限制？ -> 超限则拒绝
       -> 账户是否锁定？ -> 若是，告知用户并结束
       -> 该账户/IP近期失败次数是否达到阈值？ -> 要求验证码
       -> 验证码（如有）校验？
       -> 密码校验 -> 失败则累加失败计数，并评估是否锁定。

其他辅助措施

• 密码强度策略：强制用户使用强密码，降低被猜中概率。
• 多因素认证（MFA）：即使密码泄露，攻击者也难以登录。
• 异常检测与告警：监控登录失败趋势，对突增失败情况发送管理员告警。
• 延迟响应：无论密码正确与否，均加入微小随机延迟，削弱基于时间的枚举攻击。

总结

防止暴力破解不是单一技术的任务，而是纵深防御体系。账户锁定、验证码和速率限制三者互补，能极大提升攻击门槛。作为开发者，应根据系统敏感度和用户体验权衡配置，始终在服务端执行所有关键校验，并持续关注新型绕过技术，及时调整策略。

现在，你可以检查你的登录系统是否具备这些基础防护。如果还没有，从速率限制开始，逐步叠加，为用户账户安全筑起坚固防线。