Цитата(studentigor @ 30.10.2012, 14:33  ) |
| Я в куку создаю массив, в котором ключем будет ip адресс |
Тоесть, чтобы обойти весь механизм, достаточно отключить куки?
| Версия для печати темы
Нажмите сюда для просмотра этой темы в оригинальном формате |
| Форум программистов > PHP: Общие вопросы > Авторизация, временная блокировка |
| Автор: studentigor 30.10.2012, 14:33 |
| Всем привет. Вобщем мне нужно сделать такую штуку. Если пользователь 3 раза подряд ввел неправельный пароль - блокируем его на 5 минут. Если пользователь 5 раз подряд ввел неправельный пароль - блокируем его на 30 минут. Подскажите как правильно это организовать. Моя мысля такая Я в куку создаю массив, в котором ключем будет ip адресс, а значением колличество неудачных попыток попыток авторизации подряд. При неудачной попытке авторизироватся, я записываю в куку айпишник и кол-во попыток(ну скажем первая), и создаю к примеру такую запись на час. Возвращаю назад одвет - неправильно. Юзер набирает 2й раз, я смотрю в куку, какой он раз пытается залогинится, если ещё можно, проверяю пароль. Если пароль неправельный, записываю уже вторую попытку, и время жизни обновляю опять до часа. Если попыток больше нету - отдаю ответ что подождите, вы забанены на 5 минут. Через 5 минут он опять 2 раза пытается зайти, у его не получается, и я баню ip уже на полчаса. Жду ответа |
| Автор: ksnk 30.10.2012, 14:39 | ||
Тоесть, чтобы обойти весь механизм, достаточно отключить куки? |
| Автор: studentigor 30.10.2012, 14:40 |
| ну можно не в куку а в кеш к примеру |
| Автор: Aliance 30.10.2012, 15:21 | ||||
это однозначно нужно реализовывать путем добавления в таблицу юзеров поля типа timestamp, которое в нормальном условии будет NULL, иначе будет иметь значения, до которого длится бан (например, текущий timestamp + N min). Авторизировать пользователя, если IS_NULL(ban_till). Что же касается хранения числа попыток неудачного ввода пароля, то тут конечно это делать нужно на сервере. Либо в ту же табличку юзеров, либо в мемкеш какой-нибудь. При удачном вводе пароля - счетчик стирается. |
| Автор: studentigor 30.10.2012, 15:32 |
| Про колличество попыток понял. А вот про время бана, панируется что сайт будет под большие нагрузки, и поэтому нужно минимизировать запросы к базе, тоесть если есть возможность туда не ходить - то использовать её. Я понимаю что тут выбор одного поля, но всеже. мб и его хранить в кеше? Так я на самом входе в контроллер сделаю проверку и даже не буду проверять ни логин ни пароль. Вобщем зарание буду занить делать мне запрос к базе или нет. |
| Автор: Aliance 30.10.2012, 16:03 |
Если под понятием кеша скрывается мемкеш, то это в общем-то та же база данных, только не реляционная. Храни в кеше, только учти, что и памяти он будет кушать больше  |
| Автор: studentigor 31.10.2012, 14:10 |
| Ну тут просто такое дело, либо лишние запросы, либо больше памяти. Ок впринципе понятно, спасибо. |