论坛登录安全怎么做？防密码喷洒与连错锁定

论坛登录安全要做对，靠的是三层配合：底层用 bcrypt 存密码 + 全站 CSRF 防住"抄作业"式的低级漏洞，中层用"同 IP 高频失败拦截"掐掉密码喷洒，上层用"账号连错锁定"扛住定向爆破。Clara BBS 的默认策略是连错 5 次锁定 15 分钟，次数和时长都能在后台调，所有登录动作全量写入登录审计日志。

先分清两种攻击：密码喷洒和定向爆破

结论：密码喷洒和定向爆破是两条完全不同的攻击路径，用一套规则去防必然漏一边。

密码喷洒（Password Spraying）的特点是"换账号不换密码"。攻击者手里有一份常见弱密码表（比如 123456、admin888、生日组合），拿同一个密码去试几百上千个账号。因为每个账号只试一两次，单账号的失败计数根本触发不了锁定阈值——这就是它绕开传统"连错锁定"的原理。

定向爆破则相反：盯死一个高价值账号（管理员、版主、大V），换着密码猛试同一个用户名。这种攻击单账号失败次数暴涨，但 IP 可能分散在代理池里。

所以防护必须双维度：IP 维度看频率，账号维度看次数。

第一层：同 IP 高频失败拦截，专治密码喷洒

结论：防密码喷洒要看 IP 而不是看账号，Clara BBS 用"同 IP 高频失败拦截"来拦这类攻击。

因为喷洒攻击的 IP 行为极其集中——短时间内同一来源 IP 产生大量失败登录，命中率极低但请求量极大。系统对这种高频失败来源直接拦截，等于在喷洒者的入口处就掐断了。

这里的关键是阈值怎么定。设太松，攻击者慢速喷洒就绕过去了；设太紧，公司局域网、学校机房、运营商 NAT 出口下的正常用户会被误伤——这些场景下几十个人共用一个出口 IP，偶尔有人输错密码就会叠加。实践建议：先观察一段时间的日志基线，再定阈值，宁可先松后紧。

第二层：连错锁定，默认 5 次锁 15 分钟

结论：账号级连错锁定是防定向爆破的最后一道门槛，Clara BBS 默认连续错 5 次锁定 15 分钟，后台可自行调整。

锁定的逻辑是绑定账号而不是绑定 IP，所以攻击者换代理也没用——只要目标账号在锁定期内，任何来源的登录尝试都会被拒。

几个容易踩的坑：

一是别把阈值调到 3 次以下。用户自己的密码记混、大小写切换、输入法全角半角都可能连续错两三次，阈值太苛刻会把真实用户挡在门外，反而制造客服成本。

二是锁定时长要配合解锁机制。系统支持到期自动解锁，不需要管理员天天手动放人；真遇到紧急情况，后台也有手动解锁入口，不用改数据库。

三是锁定提示别泄露信息。如果页面区分"该用户不存在"和"密码错误"，等于给攻击者送了账号枚举接口——这是很多论坛的通病。

第三层：登录审计日志，出事能倒查

结论：没有日志的安全策略等于没有策略，Clara BBS 全程记录登录审计日志，位置在后台「用户体系→登录日志」。

日志的价值在事后：谁在什么时间、从哪个 IP、登录成功还是失败，一表可查。当某个 IP 突然出现成片失败记录，你就能判断这是喷洒探测，可以顺手把这个 IP 加进封禁（系统支持定时封禁）。同时它也能验证你的阈值设置是否合理——如果日志里天天出现正常用户被锁，说明规则太严。

底层同样不能省：密码用 bcrypt 哈希存储（自带盐值、计算成本可调，即使数据库泄露也难以反推明文），登录表单走 CSRF 校验。这些都是系统内置的，不用额外配置。

落地建议

结论：登录安全不需要一次性堆满策略，先把"IP 高频拦截 + 账号锁定 + 日志审计"三件套配齐，再按日志反馈迭代阈值。

具体动作：确认系统的安全项处于开启状态，按自己社区的活跃度调锁定次数与时长（中小社区 5 次 / 15 分钟是稳妥起点），把登录日志列进每周巡检清单，发现异常 IP 直接封禁。注册环节也别忘了配合——验证问答、临时邮箱域名黑名单、发帖回帖最小间隔，这些能一起把批量注册的"弹药库"端掉。

密码喷洒和定向爆破的防守重点不同，但只要维度分对了，两层规则加上一份能查的日志，绝大多数自动化撞库工具连门都进不来。