系统登录失败次数超过限定次数，则根据IP或用户名锁定，需要过了锁定时间才可以继续登录

已于 2023-12-19 10:14:57 修改
阅读量5.6k 收藏 21
点赞数 7
分类专栏： spring boot 文章标签： java springboot 登录锁定
于 2023-06-26 13:39:13 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43165220/article/details/131393960
版权

前言

之前做的项目都有用户名锁定机制，即：用户名失败次数超过多少次，就锁定这个用户不可以再登录，需要等过了锁定时间才可以继续登录。

然后最近的一个项目中，有个漏洞整改措施中，提到了这个锁定机制不能只根据用户名锁定，还要根据IP锁定。

两种锁定机制

1、根据用户名锁定

根据用户名锁定的前提是这个用户名要存在，在数据库中查出了这个用户名，我们才能记录错误次数，从而判断是否应该锁定。那假如这个用户名不存在，那就不用记录错误次数，那是不是可以一直调用登录接口？想象一下，某个恶意IP一直无限次调用登录接口，每次调用都会查询一次数据库，这。。。。。。


2、根据IP锁定

如果只根据IP锁定的话，就可能会存在某些恶意用户通过不停切换IP的方式，对某个用户名的密码进行猜测的情况。因为IP锁定只能对IP进行锁定，而无法对具体的用户名进行锁定。


综合以上两种锁定机制的缺点，所以我们不能只采用其中一种，而是需要结合两种锁定方式来进行校验。

实现流程

既然知道了两种机制单独使用的缺点，那我们的实现流程也好梳理了。

1、不管用户名是否存在，先校验IP是否已经锁定，锁定了不执行后面的流程，直接提示错误信息。


2、 如果IP没有被锁定，则先查询用户名，用户名不存在，则记录IP错误次数+1，并判断错误次数是否达到限定次数，达到则锁定，并提示错误信息；该IP下一次登录时，则会执行第一步。


3、 如果用户名存在，则校验用户名是否已经锁定，锁定了不执行后面的流程，直接提示错误信息。


4、如果用户名没有被锁定，则校验密码是否正确，密码错误，则同时记录IP错误次数+1、用户名错误次数+1，并判断错误次数是否达到限定次数，达到则锁定，并提示错误信息；该IP或用户名下一次登录时，则会执行第一步或第三步。


5、如果密码正确，则清除当前用户名和IP的错误次数记录。

以上五点中，其中第四点关于判断错误次数是否达到限定次数，我是同时要获取IP错误次数和用户名错误次数，取这两个次数中较大的那一个为准，如果相等就随便取一个。

假如IP错误次数较大，则IP锁定了，那不管你用哪个用户名只要是这个IP，就都不允许登录；如果是用户名错误次数较大，则用户名锁定了，那不管你怎么改变IP，只要是这个用户名，就不允许登录。

代码

梳理好了流程，那我们就可以开始写代码了

登录的controller

/** 密码最大错误次数 */
private int ERROR_COUNT = 3;
/** 锁定时长 */
private String LOCK_DURATION = "15";

@PostMapping("/login")
public ResultUtil login(String userName, String password,HttpServletRequest request){
    String ip = IPUtil.getIpAddress(request);
    long currentTime = System.currentTimeMillis();
    lockedUser(currentTime, ip,"IP"); //判断ip是否锁定
    //保存登录日志
    SysLog sysLog = new SysLog(ip,"用户登录","login");
    sysLog.setId(IdUtil.getSnowflakeNextIdStr());
    sysLog.setState("登录成功");
    try {
        //私钥解密
        userName = RSAUtil.decrypt(userName);
        password = RSAUtil.decrypt(password);

        sysLog.setCreatorId(userName);
        SysSafe safe = sysSafeService.list().get(0);
        SysUser user = passwordErrorNum(ip,userName, password,safe);// 先查询用户名是否存在，不存在则校验IP，存在则校验用户名和密码
        int i = safe.getIdleTimeSetting(); //如果系统闲置时间为0，设置token和session永不过期
        String token = "";
        if (i==0){
            token = LoginUtil.login(user,null,2592000);// 最长保持登录为30天
        }else {
            token = LoginUtil.login(user);
        }
        sysLog.setInfo(userName+"登录成功");
        sysLogService.save(sysLog);
        return ResultUtil.success(token);
    } catch (ExceptionVo e) {
        sysLog.setInfo(e.getMessage());
        sysLog.setState("登录失败");
        sysLogService.save(sysLog);
        return ResultUtil.error(e.getCode(),e.getMessage());
    }catch (Exception e) {
        sysLog.setInfo(BaseConstant.UNKNOWN_EXCEPTION);
        sysLog.setState("登录失败");
        sysLogService.save(sysLog);
        e.printStackTrace();
        return ResultUtil.error(BaseConstant.UNKNOWN_EXCEPTION);
    }
}

// ......省略其他接口
// 注意，如果有获取验证码或获取公钥的接口（这两个接口都是在登录页面加载时、调用登录接口之前调用的），也需要先校验IP是否锁定，锁定了不给返回新数据。如下：
/*String ip = IPUtil.getIpAddress(request);
long currentTime = System.currentTimeMillis();
lockedUser(currentTime, ip,"IP"); //判断ip是否锁定*/

/**
 * 判断账号或IP是否锁定
 */
private boolean lockedUser(long currentTime,String userName,String msg){
    boolean flag = false;
    if (RedisUtil.hasKey(BaseConstant.ERROR_COUNT+userName)){
        long loginTime = Long.parseLong(RedisUtil.hget(BaseConstant.ERROR_COUNT+userName, "loginTime").toString());
        String isLocaked = RedisUtil.hget(BaseConstant.ERROR_COUNT+userName,"isLocaked").toString();
        if ("true".equals(isLocaked) && currentTime < loginTime){
            Duration between = LocalDateTimeUtil.between(LocalDateTimeUtil.of(currentTime), LocalDateTimeUtil.of(loginTime));
            throw new ExceptionVo(1004,msg+"锁定中，还没到允许登录的时间，请"+between.toMinutes()+"分钟后再尝试");
        }else{
            flag = true;
            RedisUtil.hset(BaseConstant.ERROR_COUNT+userName,"isLocaked","false");//重置为false
        }
    }
    return flag;
}

/**
 * 账号和密码错误次数验证
 */
private SysUser passwordErrorNum(String ip,String userName, String password,SysSafe sysSafe) throws InvalidKeySpecException, NoSuchAlgorithmException {
    //查询用户
    SysUser user = sysUserService.getUser(null,userName);
    if (null == user){ // 根据用户名查询用户，如果没有查到，则根据ip校验
        checkIPLocked(sysSafe,ip);
    }
    long currentTime = System.currentTimeMillis();
    boolean flag = lockedUser(currentTime, userName,"账号");//判断账号是否锁定
	//根据前端输入的密码（明文），和加密的密码、盐值进行比较，判断输入的密码是否正确
    boolean authenticate = EncryptionUtil.authenticate(password, user.getPassword(), user.getSalt());
    if (authenticate) {
        //密码正确错误次数和IP错误次数清零
        RedisUtil.del(BaseConstant.ERROR_COUNT+userName);
        RedisUtil.del(BaseConstant.ERROR_COUNT+ip);
    } else {
        checkNameLocked(sysSafe,userName,ip,flag);
    }
    return user;
}

/**
 * 校验IP锁定
 */
public boolean checkIPLocked(SysSafe sysSafe,String ip){
    long currentTime = System.currentTimeMillis();
    boolean flag = lockedUser(currentTime, ip,"IP");//判断IP是否锁定
    //错误3次，锁定15分钟后才可登陆 允许时间加上定义的登陆时间（毫秒）
    long timeStamp = System.currentTimeMillis()+900000;
    //密码登录限制（0：连续错3次，锁定账号15分钟。1：连续错5次，锁定账号30分钟）
    if (sysSafe.getPwdLoginLimit()==1){
        ERROR_COUNT = 5;
        LOCK_DURATION = "30";
        //错误5次，锁定30分钟后才可登陆 允许时间加上定义的登陆时间（毫秒）
        timeStamp = System.currentTimeMillis()+1800000;
    }
    if (RedisUtil.hasKey(BaseConstant.ERROR_COUNT+ip)){
        int i = Integer.parseInt(RedisUtil.hget(BaseConstant.ERROR_COUNT+ip,"errorNum").toString());
        if (flag && i==ERROR_COUNT){ // 当错误次数达到限定次数时，走到这一步说明已经过了锁定时间再次登录，这时重新将错误次数设置为1
            RedisUtil.hset(BaseConstant.ERROR_COUNT+ip,"errorNum",1);
        }else {
            RedisUtil.hincr(BaseConstant.ERROR_COUNT+ip,"errorNum",1);// 错误次数加一
        }
        RedisUtil.hset(BaseConstant.ERROR_COUNT+ip,"loginTime",timeStamp);
    }else {
        Map<String,Object> map = new HashMap<>();
        map.put("errorNum",1);
        map.put("loginTime",timeStamp);
        map.put("isLocaked","false");// 是否锁定，默认为false
        RedisUtil.hmset(BaseConstant.ERROR_COUNT+ip, map, -1);
    }
    int i = Integer.parseInt(RedisUtil.hget(BaseConstant.ERROR_COUNT+ip,"errorNum").toString());
    if (i==ERROR_COUNT){
    	// 将锁定状态改为true表示已锁定
       	RedisUtil.hset(BaseConstant.ERROR_COUNT+ip,"isLocaked","true");
        throw new ExceptionVo(1004,"用户名或密码错误"+ERROR_COUNT+"次，现已被锁定，请"+LOCK_DURATION+"分钟后再尝试");
    }
    throw new ExceptionVo(1000,"用户名或密码错误，总登录次数"+ERROR_COUNT+"次，剩余次数: " + (ERROR_COUNT-i));
}

/**
 * 校验用户名锁定
 */
public boolean checkNameLocked(SysSafe sysSafe,String userName,String ip,boolean flag){
    //错误3次，锁定15分钟后才可登陆 允许时间加上定义的登陆时间（毫秒）
    long timeStamp = System.currentTimeMillis()+900000;
    //密码登录限制（0：连续错3次，锁定账号15分钟。1：连续错5次，锁定账号30分钟）
    if (sysSafe.getPwdLoginLimit()==1){
        ERROR_COUNT = 5;
        LOCK_DURATION = "30";
        //错误5次，锁定30分钟后才可登陆 允许时间加上定义的登陆时间（毫秒）
        timeStamp = System.currentTimeMillis()+1800000;
    }
    if (RedisUtil.hasKey(BaseConstant.ERROR_COUNT+userName)){
        int i1=0,i2=0;
        if (RedisUtil.hasKey(BaseConstant.ERROR_COUNT+userName))
            i1 = Integer.parseInt(RedisUtil.hget(BaseConstant.ERROR_COUNT+userName,"errorNum").toString());
        if (RedisUtil.hasKey(BaseConstant.ERROR_COUNT+ip))
            i2 = Integer.parseInt(RedisUtil.hget(BaseConstant.ERROR_COUNT+ip,"errorNum").toString());
        // 每一次错误，同时记录当前IP和用户名的错误次数
        if (flag && (i1==ERROR_COUNT || i2==ERROR_COUNT)){ // 走到这一步说明已经过了锁定时间再次登录，这时重新将错误次数设置为1
            if (i1>i2){ // i1 > i2 是用户名错误次数到达限定次数，将用户名的错误次数重置为1
                RedisUtil.hset(BaseConstant.ERROR_COUNT+userName,"errorNum",1);
            }else if (i2>i1){ // i2 > i1 是IP错误次数到达限定次数，将IP的错误次数重置为1
                RedisUtil.hset(BaseConstant.ERROR_COUNT+ip,"errorNum",1);
            }else { // 否则就是用户名和IP错误次数相等，将两个的错误次数同时重置为1
                RedisUtil.hset(BaseConstant.ERROR_COUNT+userName,"errorNum",1);
                RedisUtil.hset(BaseConstant.ERROR_COUNT+ip,"errorNum",1);
            }
        }else {
            RedisUtil.hincr(BaseConstant.ERROR_COUNT+userName,"errorNum",1);
            RedisUtil.hincr(BaseConstant.ERROR_COUNT+ip,"errorNum",1);
        }
        RedisUtil.hset(BaseConstant.ERROR_COUNT+userName,"loginTime",timeStamp);
        RedisUtil.hset(BaseConstant.ERROR_COUNT+ip,"loginTime",timeStamp);
    }else {
        Map<String,Object> map = new HashMap<>();
        map.put("errorNum",1);
        map.put("loginTime",timeStamp);
        map.put("isLocaked","false");
        RedisUtil.hmset(BaseConstant.ERROR_COUNT+userName, map, -1);
        if (!RedisUtil.hasKey(BaseConstant.ERROR_COUNT+ip)){
            RedisUtil.hmset(BaseConstant.ERROR_COUNT+ip, map, -1);
        }
    }
    int i1 = Integer.parseInt(RedisUtil.hget(BaseConstant.ERROR_COUNT+userName,"errorNum").toString());
    int i2 = Integer.parseInt(RedisUtil.hget(BaseConstant.ERROR_COUNT+ip,"errorNum").toString());
    int i = i1 >= i2 ? i1 : i2;// 取错误次数大的那个值进行判断
    if (i1==ERROR_COUNT || i2==ERROR_COUNT){ // 任意一个满足，将值大的那个设置为锁定
        if (i1>i2){ // i1 > i2 是用户名错误次数到达限定次数，将用户名的锁定状态设置为锁定
            RedisUtil.hset(BaseConstant.ERROR_COUNT+userName,"isLocaked","true");
        }else if (i2>i1){ // i2 > i1 是IP错误次数到达限定次数，将IP的锁定状态设置为锁定
            RedisUtil.hset(BaseConstant.ERROR_COUNT+ip,"isLocaked","true");
        }else { // 否则就是用户名和IP错误次数相等，将两个的锁定状态同时设置为锁定
            RedisUtil.hset(BaseConstant.ERROR_COUNT+userName,"isLocaked","true");
            RedisUtil.hset(BaseConstant.ERROR_COUNT+ip,"isLocaked","true");
        }
        throw new ExceptionVo(1004,"用户名或密码错误"+ERROR_COUNT+"次，现已被锁定，请"+LOCK_DURATION+"分钟后再尝试");
    }
    throw new ExceptionVo(1000,"用户名或密码错误，总登录次数"+ERROR_COUNT+"次，剩余次数: " + (ERROR_COUNT-i));
}

以上我们就实现了用户名和IP一起校验的锁定机制了。这两种方式结合校验的机制应该是挺完善的，按照上面的代码，我自己测试也是没啥问题的，当然可能我代码也会有遗漏的，欢迎大家评论补充。

最后，如果这篇文章你觉得写得还行或者对你有点帮助的话，欢迎给点个大拇指~

【漏洞挖掘】——141、 逻辑漏洞之身份验证汇总
Fly_鹏程万里
07-26 299
身份验证是网站必不可少的一项业务功能设计，而身份验证机制的选择和设计也会带来诸多的安全问题，在本篇文章中我们将介绍网站使用的身份验证机制以及这些验证机制中存在的安全漏洞并对一些安全防护机制和设计中存在的缺陷和绕过方式进行简易的刨析和演示，同时会对不同身份验证机制中存在的固有安全漏洞进行分析，最后我们会介绍如何使身份验证机制尽可能安全的方法。
计划日志和远程登录
m0_54563444的博客
07-01 709
at一次计划，cron循环计划，日志，ssh远程管理，PAM应用：限制远程登录尝试密码次数及锁定时间。scp远程上传下载文件，telnet远程登录，ntp服务器校时
限制用户登录失败次数，在连续登陆失败10次后冻结该用户。
weixin_44564692的博客
01-21 7262
Controller中内容如下    //定义rediesTemplate private static RedisTemplate&lt;String, Object&gt; redisTemplate = SpringContextHolder.getBean("redisTemplate");   //定义日志记录  private static final Logger logger...
【踩坑】如何解锁微软“已暂时锁定你的帐户”
xfxuezhang.cn
08-21 7392
也不知道谁在搞事情
登录次数限制
最新发布
学不会就接着学
02-27 1172
如何平衡安全与用户体验?过于严格的限制可能导致误锁定正常用户，建议提供解锁选项（如通过邮箱验证）。如何应对复杂攻击场景？对于分布式暴力破解，需结合IP限制和设备指纹等多维度数据分析。是否需要提供自定义规则？根据业务场景，允许管理员配置失败次数、锁定时间等规则，以适应不同的安全需求。登录次数限制是一项核心的安全功能，它不仅能有效防御暴力破解攻击，还能增强系统的整体安全性。在实现过程中，应兼顾安全性、用户体验与系统性能。同时，通过动态调整规则、加入验证码和增强监控，可以进一步提升系统的防护能力。
用户登录错误次数太多锁定账号
Think
06-25 957
每次用户登录时，通过 rangeByScore 查询对应的限制时间范围内错误的的次数，如果次数超过阈值，则限制登录。key可以设置为用户名，value可以设置为UUID，score设置为当前时间戳。当用户登录验证码错误次数太多时，需要限制用户在10分钟之内不能再次登录。1.通过Redis ZSet。
DM8登录失败次数超过限制
qq961573863的博客
01-17 2090
DM8登录失败次数超过限制
达梦数据库 错误号： -2508 登录失败次数超过限制
热门推荐
HThuangtao4的博客
07-29 1万+
错误号：-2508 登录失败次数超过限制 解决办法：登录sysbdba用户 如上图找到问题用户-右击-修改如下 选择登录失败次数、口令锁定期的限制勾选。
DM数据库提示登录失败次数超过限制
Caozefei_2018的博客
07-18 2903
如果不想等时间失效可以执行一下语句对其进行解锁操作。今天登录达梦数据库时提示‘登录失败次数超过限制’可以执行下面语句进行查询导致数据库被锁的操作ip。，然后查询设置的失败次数限制以及锁定时间。然后我切换成SYSDBA账号。发现有用户名的用户状态出现。
国产化DM达梦数据库 - 用户状态查询、锁定与解锁，“登录失败次数超过限制”问题解决
Gblfy_Blog
07-02 1784
国产化DM达梦数据库 - 用户状态查询、锁定与解锁，“登录失败次数超过限制”问题解决
PAM认证模块应用实训 ：对SSH远程登录多次失败的用户账号进行锁定及解锁
qq_35447918的博客
05-05 2704
任务背景: 真实场景中的企业服务器，有时需要限制远程用户的登录次数，避免恶意用户多次尝试输入不同的密码，进行碰运气的撞库攻击，这个功能可以通过PAM认证模块的pam_tally2.so动态库来实现 操作步骤： 1）对Linux的进行基本网络配置，使得win7和Linux能互相ping通对方的Ip地址，确保win7和Linux网络是联通的 2）启动远程登录工具Xshell，新建SS...
登录非法登录账号锁定安全测试
01-10
超过限定范围内的访问将会受到临时封禁或延缓响应时间作为惩罚手段之一。 ```python from flask_limiter import Limiter from flask import Flask, request app = Flask(__name__) limiter = Limiter(app) @app....
Linux操作系统安全加固指导
乐大厨串串香飘万里
10-24 4734
linux加固指南（超详细版）
达梦数据库登录失败次数超过限制”问题解决
weixin_44401887的博客
07-05 2088
alter user “达梦数据库用户名” account unlock。select username as “达梦数据库用户名”,account_status as “账户状态”,lock_date as “锁定时间”1.查询所有用户状态。
「实用教程」登录失败超过一定次数如何锁定帐号？
公众号：Java后端
08-01 2009
前言本教程作者是「小灯光环」，作者简介：全栈开发工程师，CSDN博客专家，CSDN论坛 JavaWeb/JavaEE版主，热爱技术，乐于分享，在分布式Web开发/An...
达梦数据库新创建用户登录报错“登录失败次数超过限制”
Mrkill123的博客
10-23 5985
达梦数据库新创建用户登录报错“登录失败次数超过限制”
后端实现用户多次登陆失败锁定账户
优质博客
06-19 453
刚开始想的是在用户数据库中加一个字段login_time,根据这个login_time来决定是否锁定用户以及锁定多长时间。但是我尝试在用户表中新增字段失败了，由于用户数据库是同组其他人完成的，加之自己目前对django的数据库操作不是特别熟练，在数据表中添加字段的时候报错了，也不知道怎么改。只要再session中添加一个键lose_time表示登录失败的次数，当lose_time>=3的时候一定时间内不让这个用户再登录就可以了，经过写代码测试，的确可以实现这个功能。
服务器未配置登录失败处理功能以及登录连接超时自动退出功能。 建议启用登录失败处理功能，登录失败5次，账户锁定30分钟，登录连接超时30分钟自动退出。
u014196765的博客
05-18 2936
服务器未配置登录失败处理功能以及登录连接超时自动退出功能。 建议启用登录失败处理功能，登录失败5次，账户锁定30分钟，登录连接超时30分钟自动退出。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

符华-

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值