帐户锁定实施

Question

我想当用户在Y持续时间内尝试登录X次以上（并失败）时，实施帐户锁定的最佳做法是什么。

我应该阻止尝试登录的IP地址并将其保存在数据库中吗？还是锁定尝试登录的“用户名”？还是实现需要在浏览器中作为标志（例如cookie，本地/会话存储）完全阻止该请求？

希望得到您的建议。

Eliran。