大家學寫程式時，第一行**都是hello world。但是當你開始學習web後台技術時，很多人的第乙個功能就是寫的登入 （小聲：別人我不知道，反正我是）。但是我在和很多任務作經驗較短的同學面試或溝通的時候，發現很多同學雖然都有在簡歷上寫：負責專案的登入/註冊功能模組的開發和設計工作，但是都只是簡單的實現了功能邏輯，在安全方面並沒有考慮太多。這篇文章主要是和大家聊一聊，在設計乙個登入介面時，不僅僅是功能上的實現，在安全方面，我們還需要考慮哪些地方。
只要**是暴露在公網的，那麼很大概率上會被人盯上，嘗試爆破這種簡單且有效的方式：通過各種方式獲得了**的使用者名稱之後，通過編寫程式來遍歷所有可能的密碼，直至找到正確的密碼為止
偽**如下：
# 密碼字典
password_dict =
# 登入介面
login_url = ''
def attack(username):
for password in password_dict:
data =
content = requests.post(login_url, data).content.decode('utf-8')
if 'login success' in content:
print('got it! password is : %s' % password)
複製**
驗證碼偽**如下：
fail_count = get_from_redis(fail_username)
if fail_count >= 3:
if captcha is none:
return error('需要驗證碼')
check_captcha(captcha)
success = do_login(username, password)
if not success:
set_redis(fail_username, fail_count + 1)
複製**
偽**未考慮併發，實際開發可以考慮加鎖。這樣確實可以過濾掉一些非法的攻擊，但是以目前的ocr技術來說的話，普通的驗證碼真的很難做到有效的防止機械人（我們就在這個上面吃過大虧）。當然，我們也可以花錢購買類似於三方公司提供的滑動驗證等驗證方案，但是也並不是100%的安全，一樣可以被破解（慘痛教訓）。
登入限制
那這時候又有同學說了，那我可以直接限制非正常使用者的登入操作，當它密碼錯誤達到一定次數時，直接拒絕使用者的登入，隔一段時間再恢復。比如我們設定某個賬號在登入時錯誤次數達到10次時，則5分鐘內拒絕該賬號的所有登入操作。
偽**如下：
fail_count = get_from_redis(fail_username)
locked = get_from_redis(lock_username)
if locked:
return error('拒絕登入')
if fail_count >= 3:
if captcha is none:
return error('需要驗證碼')
check_captcha(captcha)
success = do_login(username, password)
if not success:
set_redis(fail_username, fail_count + 1)
if fail_count + 1 >= 10:
# 失敗超過10次，設定鎖定標記
set_redis(lock_username, true, 300s)
複製**
ip限制
那既然直接針對使用者名稱不行的話，我們可以針對ip來處理，直接把攻擊者的ip封了不就萬事大吉了嘛。我們可以設定某個ip下呼叫登入介面錯誤次數達到一定時，則禁止該ip進行登入操作。
偽**如下：
ip = request['ip']
fail_count = get_from_redis(fail_ip)
if fail_count > 10:
return error('拒絕登入')
# 其它邏輯
# do something()
success = do_login(username, password)
if not success:
set_redis(fail_ip, true, 300s)
複製**
手機驗證
那難道就沒有乙個比較好的方式來防範嗎？ 當然有。 我們可以看到近些年來，幾乎所有的應用都會讓使用者繫結手機，乙個是國家的實名制政策要求，第二個是手機基本上和身份證一樣，基本上可以代表乙個人的身份標識了。所以很多安全操作都是基於手機驗證來進行的，登入也可以。
當使用者輸入密碼次數大於3次時，要求使用者輸入驗證碼（最好使用滑動驗證）
當使用者輸入密碼次數大於10次時，彈出手機驗證，需要使用者使用手機驗證碼和密碼雙重認證進行登入
手機驗證碼防刷就是另乙個問題了，這裡不展開，以後再有時間再聊聊我們在驗證碼防刷方面做了哪些工作。偽**如下：
fail_count = get_from_redis(fail_username)
if fail_count > 3:
if captcha is none:
return error('需要驗證碼')
check_captcha(captcha)
if fail_count > 10:
# 大於10次，使用驗證碼和密碼登入
if dynamic_code is none:
return error('請輸入手機驗證碼')
if not validate_dynamic_code(username, dynamic_code):
delete_dynamic_code(username)
return error('手機驗證碼錯誤')
success = do_login(username, password, dynamic_code)
if not success:
set_redis(fail_username, fail_count + 1)
複製**
什麼是中間人攻擊
***中間人攻擊(man-in-the-middle attack, abbreviated to mitm)***，簡單一點來說就是，a和b在通訊過程中，攻擊者通過嗅探、攔截等方式獲取或修改a和b的通訊內容。
舉個栗子：小白給小黃發快遞，途中要經過快遞點a，小黑就躲在快遞點a，或者乾脆自己開乙個快遞點b來冒充快遞點a。然後偷偷的拆了小白給小黃的快遞，看看裡面有啥東西。甚至可以把小白的快遞給留下來，自己再打包乙個一毛一樣的箱子發給小黃。
那在登入過程中，如果攻擊者在嗅探到了從客戶端發往服務端的登入請求，就可以很輕易的獲取到使用者的使用者名稱和密碼。
防範中間人攻擊最簡單也是最有效的乙個操作，更換https，把**中所有的http請求修改為強制使用https。
***為什麼https可以防範中間人攻擊？ *** https實際上就是在http和tcp協議中間加入了ssl/tls協議，用於保障資料的安全傳輸。相比於http，https主要有以下幾個特點：
具體的https原理這裡就不再擴充套件了，大家可以自行google加密傳輸
在https之外，我們還可以手動對敏感資料進行加密傳輸：
除了上面我們聊的這些以外，其實還有很多其它的工作可以考慮，比如：
現在國家不斷的出台各種法律，對使用者的資料越來越看重。作為開發者，我們也需要在保護使用者資料和使用者隱私方面做更多的工作。後面我也會和大家聊一聊，我們在資料安全方面，做了哪些工作，希望可以給到大家一點點幫助。
8年開發，連登陸介面都寫這麼爛
前言大家學寫程式時，第一行 都是hello world。但是當你開始學習web後台技術時，很多人的第乙個功能就是寫的登入 小聲 別人我不知道，反正我是 但是我在和很多任務作經驗較短的同學面試或溝通的時候，發現很多同學雖然都有在簡歷上寫 負責專案的登入 註冊功能模組的開發和設計工作，但是都只是簡單的實...
C 登陸介面
在c 中從登陸介面進入主介面，進入主介面以後怎麼關閉登陸介面 有很多方法，我就說兩種 方法一 在登入介面的登入按鈕的單擊事件下，寫 這種情況其實把主介面看作登入介面的子窗體。只是把登入介面隱藏，它還存在於記憶體中，不過一般登入介面很小，不佔多少資源，也無所謂。private void btnlogi...
WPF 登陸介面
效果圖 黑色是我的桌面 圓角登入框 以下基於wpf。一開始最先要的效果就是圓角窗體，單純出於美觀的心態，但是人是不滿足的，改了一點就像再有一點。哈哈哈 更改預設 其實就是將原有的窗體變隱藏，然後搞乙個新的出來。windowstyle none allowstransparency true back...