本文操作環(huán)境：windows7系統(tǒng)、php7.1版、DELL G3電腦

PHP實現(xiàn)登錄失敗次數(shù)限制

登錄密碼錯誤次數(shù)限制

安全對每個網(wǎng)站的重要性，不言自明。 其中，登陸又是網(wǎng)站中比較容易受到攻擊的一個地方，那么我們?nèi)绾螌Φ顷懝δ艿陌踩约訌娔兀?/p>

我們先來看一些知名的網(wǎng)站是如何做的

• Github

  Github網(wǎng)站同一個賬號在同一個IP地址連續(xù)密碼輸錯一定次數(shù)后，這個賬號是會被鎖定30分鐘的。

• Github這么做的主要原因，我覺得主要基于以下考慮：

  1. 防止用戶的賬號密碼被暴力破解

  實現(xiàn)思路

  既然這么多網(wǎng)站的登陸功能都這么個功能，那么具體如何實現(xiàn)的。下面，就具體說說。

  • 思路

    1. 需要一個表(user_login_info)負責(zé)記錄用戶登錄的信息，不管登錄成功還是失敗都記錄。并且登陸失敗還是成功需要能夠區(qū)分開來。

    2. 每次登陸時，都先從user_login_info表查詢最近30分鐘內(nèi)(這里假設(shè)密碼錯誤次數(shù)達到5次后，禁用用戶30分鐘)有沒有相關(guān)密碼錯誤的記錄，然后統(tǒng)計一下記錄總條數(shù)是否達到設(shè)定的錯誤次數(shù)。

    1. 如果在相同IP下，同一個用戶，在30分鐘內(nèi)密碼錯誤次數(shù)達到設(shè)定的錯誤次數(shù)，就不讓用戶登錄了。

  具體代碼與及表設(shè)計

  • 表設(shè)計

  user_login_info表

     CREATE TABLE `user_login_info` (
         `id` int(10) UNSIGNED PRIMARY KEY AUTO_INCREMENT  NOT NULL,
         `uid` int(10) UNSIGNED NOT NULL,
         `ipaddr` int(10) UNSIGNED NOT NULL COMMENT '用戶登陸IP',
         `logintime` timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP 
         COMMENT '用戶登陸時間',
         `pass_wrong_time_status` tinyint(10) UNSIGNED NOT NULL COMMENT '登陸密碼錯誤狀態(tài)' 
         COMMENT '0 正確 2錯誤'
      ) ENGINE=InnoDB DEFAULT CHARSET=utf8;

     CREATE TABLE `user` (
        `id` int(10) UNSIGNED NOT NULL AUTO_INCREMENT,
        `name` varchar(100) NOT NULL COMMENT '用戶名',
        `email` varchar(100) NOT NULL,
        `pass` varchar(255) NOT NULL,
        `status` tinyint(3) UNSIGNED NOT NULL DEFAULT '1' COMMENT '1啟用 2禁用',
         PRIMARY key(id)
      ) ENGINE=InnoDB DEFAULT CHARSET=utf8;

  • 核心代碼

  connectDB();
      }
  
      protected function connectDB()
      {
          $dsn = "mysql:host=localhost;dbname=demo;charset=utf8";
          $this->pdo = new PDO($dsn, 'root', 'root');
      }
  
      //顯示登錄頁
      public function loginPage()
      {
            include_once('./html/login.html');
  
      }
  
      //接受用戶數(shù)據(jù)做登錄
      public function handlerLogin()
      {
  
          $email = $_POST['email'];
          $pass = $_POST['pass'];
  
          //根據(jù)用戶提交數(shù)據(jù)查詢用戶信息
          $sql = "select id,name,pass,reg_time from user where email = ?";
          $stmt = $this->pdo->prepare($sql);
          $stmt->execute([$email]);
  
          $userData = $stmt->fetch(\PDO::FETCH_ASSOC);
  
          //沒有對應(yīng)郵箱
          if ( empty($userData) ) {
  
              echo '登錄失敗1';
  
              echo '';
              exit;
          }
  
          //檢查用戶最近30分鐘密碼錯誤次數(shù)
          $res = $this->checkPassWrongTime($userData['id']);
  
          //錯誤次數(shù)超過限制次數(shù)
          if ( $res === false ) {
              echo '你剛剛輸錯很多次密碼，為了保證賬戶安全，系統(tǒng)已經(jīng)將您賬號鎖定30min';
  
              echo '';
              exit;
          }
  
  
          //判斷密碼是否正確
          $isRightPass = password_verify($pass, $userData['pass']);
  
          //登錄成功
          if ( $isRightPass ) {
  
              echo '登錄成功';
              exit;
          } else {
  
              //記錄密碼錯誤次數(shù)
              $this->recordPassWrongTime($userData['id']);
  
              echo '登錄失敗2';
              echo '';
              exit;
          }
  
      }
  
      //記錄密碼輸出信息
      protected function recordPassWrongTime($uid)
      {
  
          //ip2long()函數(shù)可以將IP地址轉(zhuǎn)換成數(shù)字
          $ip = ip2long( $_SERVER['REMOTE_ADDR'] );
  
          $time = date('Y-m-d H:i:s');
          $sql = "insert into user_login_info(uid,ipaddr,logintime,pass_wrong_time_status) values($uid,$ip,'{$time}',2)";
  
  
          $stmt = $this->pdo->prepare($sql);
  
          $stmt->execute();
      }
  
      /**
       * 檢查用戶最近$min分鐘密碼錯誤次數(shù)
       * $uid 用戶ID
       * $min  鎖定時間
       * $wTIme 錯誤次數(shù)
       * @return 錯誤次數(shù)超過返回false,其他返回錯誤次數(shù)，提示用戶
       */
      protected function checkPassWrongTime($uid, $min=30, $wTime=3)
      {
  
          if ( empty($uid) ) {
  
              throw new \Exception("第一個參數(shù)不能為空");
  
          }
  
          $time = time();
          $prevTime = time() - $min*60;
  
          //用戶所在登錄ip
          $ip = ip2long( $_SERVER['REMOTE_ADDR'] );
  
  
          //pass_wrong_time_status代表用戶輸出了密碼
          $sql = "select * from user_login_info where uid={$uid} and pass_wrong_time_status=2 and UNIX_TIMESTAMP(logintime) between $prevTime and $time and ipaddr=$ip";
  
          $stmt = $this->pdo->prepare($sql);
  
          $stmt->execute();
  
          $data = $stmt->fetchAll(\PDO::FETCH_ASSOC);
  
  
          //統(tǒng)計錯誤次數(shù)
          $wrongTime = count($data);
  
          //判斷錯誤次數(shù)是否超過限制次數(shù)
          if ( $wrongTime > $wTime ) {
              return false;
          }
  
          return $wrongTime;
  
      }
  
      public function __call($methodName, $params)
      {
  
          echo '訪問的頁面不存在','返回登錄頁';
      }
  }
  
  $a = @$_GET['a']?$_GET['a']:'loginPage';
  
  
  $login = new Login();
  
  $login->$a();

  推薦學(xué)習(xí)：《PHP視頻教程》

本文題目：php怎么實現(xiàn)登錄失敗次數(shù)限制
網(wǎng)頁網(wǎng)址：http://uogjgqi.cn/article/dhppcdo.html