Как предотвратить грубый вход на сайт - Laravel 5.7?

Question

У меня есть сайт Laravel и форма входа.

Мне интересно, есть ли способ деактивировать форму при неудачном входе пользователя 5x раз.

Назад-Конец логики

Я думал отслеживать loginFailCount по электронной почте, в моем сеансе, а если it == 5, отключить кнопку отправки на 1 час.

Пример

• электронная почта: john@doe.com
• loginFailCount: 5
• lockAt: 1523 (15:23 PM)

Если текущее время 1623, я снова включу кнопку входа для john@doe.com.

Я на правильном пути для мыслительного процесса?

Answer 1

В зависимости от того, какую версию laravel вы используете, регулирование попыток входа в систему происходит из коробки.

Laravel Doc - Регулирование входа в систему

Какая польза от отключения кнопки на сайте переднего плана / клиента?

Если кто-то пытается грубо взломать ваше приложение, он явно обойдет отключенную кнопку отправки формы? Просто любопытно, почему бы не перейти на серверный подход.

Answer 2

Источник OWASP

Наиболее очевидный способ блокировать атаки методом перебора - просто заблокировать учетные записи после определенного количества попыток ввода неверного пароля.Блокировка учетной записи может длиться определенную продолжительность, например один час, или учетные записи могут оставаться заблокированными, пока администратор не разблокирует их вручную. Однако блокировка учетной записи не всегда является лучшим решением , поскольку кто-то может легко злоупотребить мерой безопасности и заблокировать сотни учетных записей пользователей.На самом деле, некоторые веб-сайты подвергаются такому количеству атак, что не могут применить политику блокировки, поскольку они постоянно разблокируют учетные записи клиентов.

На этом же сайте перечислены другие варианты, напримерone.

Как описано, блокировка учетной записи обычно не является практическим решением, но есть и другие приемы, чтобы справиться с атаками грубой силы.Во-первых, поскольку успех атаки зависит от времени, простое решение состоит в том, чтобы вводить случайные паузы при проверке пароля.Добавление даже нескольких секунд паузы может значительно замедлить атаку методом перебора, но не будет мешать большинству законных пользователей при входе в свои учетные записи.ваш опыт и усилия.

Однако, если вы все еще просто хотите продолжить свое решение, @GetOffMyLawn указал на правильное решение в комментариях.