Всем привет.

Вобщем мне нужно сделать такую штуку. 
Если пользователь 3 раза подряд ввел неправельный пароль - блокируем его на 5 минут.
Если пользователь 5 раз подряд ввел неправельный пароль - блокируем его на 30 минут.

Подскажите как правильно это организовать.

Моя мысля такая
Я в куку создаю массив, в котором ключем будет ip адресс, а значением колличество неудачных попыток попыток авторизации подряд.

При неудачной попытке авторизироватся, я записываю в куку айпишник и кол-во попыток(ну скажем первая), и создаю к примеру такую запись на час.

Возвращаю назад одвет - неправильно. Юзер набирает 2й раз, я смотрю в куку, какой он раз пытается залогинится, если ещё можно, проверяю пароль.
Если пароль неправельный, записываю уже вторую попытку, и время жизни обновляю опять до часа. 
Если попыток больше нету - отдаю ответ что подождите, вы забанены на 5 минут. Через 5 минут он опять 2 раза пытается зайти, у его не получается, и я баню ip уже на полчаса.

Жду ответа

Тоесть, чтобы обойти весь механизм, достаточно отключить куки?

ну можно не в куку а в кеш к примеру

это однозначно нужно реализовывать путем добавления в таблицу юзеров поля типа timestamp, которое в нормальном условии будет NULL, иначе будет иметь значения, до которого длится бан (например, текущий timestamp + N min). Авторизировать пользователя, если IS_NULL(ban_till).

Что же касается хранения числа попыток неудачного ввода пароля, то тут конечно это делать нужно на сервере. Либо в ту же табличку юзеров, либо в мемкеш какой-нибудь. При удачном вводе пароля - счетчик стирается.

Это сообщение отредактировал(а) Aliance - 30.10.2012, 15:23

Про колличество попыток понял.

А вот про время бана, панируется что сайт будет под большие нагрузки, и поэтому нужно минимизировать запросы к базе, тоесть если есть возможность туда не ходить - то использовать её.
Я понимаю что тут выбор одного поля, но всеже. мб и его хранить в кеше? Так я на самом входе в контроллер сделаю проверку и даже не буду проверять ни логин ни пароль.
Вобщем зарание буду занить делать мне запрос к базе или нет. 

Если под понятием кеша скрывается мемкеш, то это в общем-то та же база данных, только не реляционная. Храни в кеше, только учти, что и памяти он будет кушать больше 

Ну тут просто такое дело, либо лишние запросы, либо больше памяти.

Ок впринципе понятно, спасибо.