📌 术语定义

认证

确认是系统允许登陆的用户

授权

确认是系统允许操作的用户

安全注意事项

防暴力破解认证登录

为防止账户受到采用密码词典或暴力破解方式的自动登录攻击,认证登录应采用 验证码IP锁定 等方式。

  1. 连续 a 次以上密码错误,增加验证码机制。

  2. 连续 b 次以上密码错误,将锁定登录IP。

    • 锁定 x 时间后解锁。

  3. 连续 c 次以上密码错误,锁定登录用户名。

    • 用户名锁定 y 时间后解锁。

    • 可以通过密保手机、二级密码等解除,解除冷却时间 z