后台登录别裸奔，脚本24小时字典爆破，一天试一万次，再复杂的密码也扛不住

新手做用户登录功能，接口不做限制，脚本拿字典24小时暴力破解，一天试几千个密码，账号密码直接被撞库，其实登录接口几个限制加上，脚本根本破不了。第一，同一个IP连续输错5次密码，直接锁定15分钟，脚本试一次错一次，等半天才能试下一次；第二，登录接口加图形验证码，输错3次之后必须输验证码，脚本自动识别的成本很高，大部分暴力脚本直接放弃；第三，账号不存在和密码错的返回提示一样，别告诉用户“这个账号没注册”，不然脚本先扫哪些账号是存在的，针对性爆破；第四，后台管理地址只允许白名单IP访问，别对公网开放，黑客连登录地址都找不到，根本没法爆破解。

我之前的论坛，后台登录没做限制，脚本一天试了一万次密码，差点把管理员账号撞出来，加了失败锁定和验证码之后，后台的暴力请求直接降到零。很多新手觉得后台密码设复杂点就安全，黑产的字典脚本24小时不停试，你密码再复杂，也架不住人家试几十万次，加几个简单限制，脚本直接破不动。