在PHP中使用cookie登录安全性问题

Question

我在PHP中使用私有访问构建应用程序。登录有两种方法：

• 登录表单：用户名和密码
• Cookie：记住带有散列信息的cookie（用户名，盐等）

为防止机器人进行强力攻击，服务器会创建一个会话（带有session_start的cookie），经过4次尝试后，用户必须等待5秒才能再次尝试。我使用超全局变量$ _SESSION来检查某人尝试连接的次数。

我担心的是不允许使用Cookie的用户。在那种情况下，他们不必每4次尝试等待5秒。关于防止蛮力的最佳方法，我有点困惑：

1. 在数据库中创建一个用于检查IP尝试连接的次数的登录表
2. 或者只是阻止没有会话cookie的用户连接

谢谢，

Answer 1

我肯定会选择基于数据库的解决方案。也许在5次尝试失败后锁定帐户2分钟，但这实际上只是个人决定..但是，您可能不想阻止IP，因为许多大公司甚至国家使用一个NAT的IP进行通信，而是我锁定帐户。

Answer 2

你可以看看 http://www.codedevelopr.com/articles/throttle-user-login-attempts-in-php/ 并为自己判断。