用户登录限制-----错误后锁定机制的讨论

　　WEB开发，用户登录页面是必须处理的。这里的涉及到一些基本的安全问题，明文的用户名被窃取后，第三方使用穷举法暴力破解密码，需要应对。
　　当用户未登录时，token还未获取，退一步讲，即使网站奇葩到先设置token或给个cookie来标识Client，也不能使用，因为针对这些做的锁定限制，在用户关闭浏览器、重新开启后，锁定将失效。一般的做法是，根据现有的信息——用户名（用户名不存在直接返回失败，不影响流程），做锁定限制，指定一段时间内，针对该用户的登录操作，不做密码匹配，全部直接拒绝。这种策略的好处显而易见，保证用户名至少不会被短时间内被暴力破解。缺点也很明显，对于用户不多的管理型网站不友好，比如家用的路由器之类的页面。这类网站的特点是用户数目不会很多，重点是进行权限控制，当拿到用户名后，可以用机器人一直给WEB服务器发送该用户的登录，使用户一直处于锁定状态，影响正常业务。
　　对于管理型的网站，个人认为更适合的也许是对Client IP的锁定。不是使用登录页面在验证时，HTTP首部携带的Client信息，因为这个太容易伪造，而是从Client与Server之间的TCP连接信息获取。虽然这样也可以通过伪造TCP连接来规避，但目前的网络设备使这种伪造有了诸多的限制，也可以复用服务器所在环境防DDOS的策略。