網(wǎng)頁(yè)登陸設(shè)計(jì)
提問(wèn)問(wèn)題
列表
-
目前千元機(jī)有什么推薦嗎
查看答案>>
-
老年人專用手機(jī)品牌哪個(gè)好
查看答案>>
-
c3駕駛證能開(kāi)什么車
查看答案>>
-
2018年1000以下手機(jī)哪個(gè)品牌好
查看答案>>
-
我的淘寶個(gè)人中心打不開(kāi)了.為什么.怎么辦啊?
查看答案>>
-
假如給你一個(gè)登陸界面怎么測(cè),詳細(xì)點(diǎn)的,要有等價(jià)類,邊界值等黑盒方法測(cè)試,設(shè)計(jì)用例
查看答案>>
-
簡(jiǎn)單的用戶登錄窗口設(shè)計(jì),vs2013與數(shù)據(jù)庫(kù)的鏈接問(wèn)題(求改代碼)
查看答案>>
-
網(wǎng)頁(yè)設(shè)計(jì)怎樣將用戶申請(qǐng)的賬號(hào)密碼保存到數(shù)據(jù)庫(kù),然后用戶登陸的時(shí)候可以根據(jù)數(shù)據(jù)庫(kù)的賬號(hào)密碼是否正確登
查看答案>>
-
如何設(shè)計(jì)安全的用戶登錄功能
查看答案>>
目前千元機(jī)有什么推薦嗎
因?yàn)槠放撇煌a(chǎn)品的設(shè)計(jì)理念等也是不一樣的,各有優(yōu)勢(shì)建議根據(jù)需求及喜好選擇合適的手機(jī)。由于手機(jī)產(chǎn)品的機(jī)型眾多,適用人群不一樣,可以登陸三星網(wǎng)站查看熱門(mén)旗艦機(jī)型以及最新產(chǎn)品.
老年人專用手機(jī)品牌哪個(gè)好
因?yàn)槠放撇煌?,產(chǎn)品的設(shè)計(jì)理念等也是不一樣的,各有優(yōu)勢(shì)建議根據(jù)需求及喜好選擇合適的手機(jī)。由于手機(jī)產(chǎn)品的機(jī)型眾多,適用人群不一樣,可以登陸三星網(wǎng)站查看熱門(mén)旗艦機(jī)型以及最新產(chǎn)品.
c3駕駛證能開(kāi)什么車
C3駕駛證可以開(kāi)的車如下: 低速載貨汽車(原四輪農(nóng)用運(yùn)輸車、輕型載貨汽車,車長(zhǎng)小于6m,總質(zhì)量小于4500kg。 小型汽車 C1:小型、微型載客汽車以及輕型、微型載貨汽車、輕、小、微型專項(xiàng)作業(yè)車; 小型自動(dòng)擋汽車 C2:小型、微型自動(dòng)擋載客汽車以及輕型、微型自動(dòng)擋載貨汽車; 低速載貨汽車 C3:低速載貨汽車(原四輪農(nóng)用運(yùn)輸車); 三輪汽車 C4:三輪汽車(原三輪農(nóng)用運(yùn)輸車)。
2018年1000以下手機(jī)哪個(gè)品牌好
品牌不同,配置、設(shè)計(jì)理念、適用人群等也是不一樣的,各有優(yōu)勢(shì),建議根據(jù)需求及喜好選擇合適的機(jī)型。如需了解三星產(chǎn)品的詳細(xì)機(jī)型信息,請(qǐng)登陸官網(wǎng)-點(diǎn)擊右上角放大鏡圖標(biāo)輸入型號(hào)查詢。
我的淘寶個(gè)人中心打不開(kāi)了.為什么.怎么辦啊?
有幾個(gè)情況會(huì)導(dǎo)致這個(gè)現(xiàn)象出現(xiàn):1.你的網(wǎng)速過(guò)慢,網(wǎng)頁(yè)代碼沒(méi)有完全下載就運(yùn)行了,導(dǎo)致不完整。請(qǐng)刷新。2.網(wǎng)頁(yè)設(shè)計(jì)錯(cuò)誤,導(dǎo)致部分代碼不能執(zhí)行。3.你的瀏覽器不兼容導(dǎo)致部分代碼不能執(zhí)行。4.你的IE瀏覽器緩存出錯(cuò),請(qǐng)右鍵點(diǎn)擊桌面IE瀏覽器,選擇屬性,在常規(guī)頁(yè)面里,點(diǎn)擊刪除文件這個(gè)按鈕,選擇全部刪除,并且點(diǎn)擊刪除cookies按鈕。5.網(wǎng)站服務(wù)器訪問(wèn)量太大,導(dǎo)致服務(wù)器超負(fù)載,部分代碼沒(méi)有完全下載就提示瀏覽器完畢,導(dǎo)致錯(cuò)誤。你可以多刷新,或者換一個(gè)網(wǎng)速比較好的時(shí)候訪問(wèn)(前提是這個(gè)網(wǎng)站是個(gè)大網(wǎng)站,不會(huì)出現(xiàn)問(wèn)題)6.問(wèn)題可能是因?yàn)镼Q空間系統(tǒng)進(jìn)行日常維護(hù)更新,所以經(jīng)常出現(xiàn)一些QQ系統(tǒng)繁忙,空間網(wǎng)頁(yè),導(dǎo)航 播放器, 模塊不能顯示,日志看不到.裝扮無(wú)法保存.QQ簽名擋不能改.QQ面板顯示不出QQ空間,QQ空間的圖標(biāo)不亮,閃圖不會(huì)閃,空間歌播放不流暢或者驗(yàn)證碼一直出錯(cuò)之類的問(wèn)題。請(qǐng)不要著急.多開(kāi)幾次或者等系統(tǒng)維護(hù)好了就行了。或者你可以按照以下方法處理:一、一定要清除IE垃圾!這可以幫助您解決很多訪問(wèn)上的問(wèn)題!清除方法:1、請(qǐng)您點(diǎn)擊IE瀏覽器中的“工具”,選擇“internet選項(xiàng)”; 2、在“常規(guī)”頁(yè)面點(diǎn)擊“刪除文件”,然后勾上“同時(shí)刪除脫機(jī)內(nèi)容”,點(diǎn)擊確定; 二、請(qǐng)您點(diǎn)擊IE瀏覽器中的“工具”選擇“internet選項(xiàng)”,進(jìn)入“安全”頁(yè)面,點(diǎn)擊“自定義級(jí)別”,對(duì)“對(duì)標(biāo)記為可安全執(zhí)行腳本的ActiveX控件執(zhí)行腳本”設(shè)置為“啟用”; 三、您可以嘗試暫時(shí)關(guān)閉相關(guān)上網(wǎng)助手等,再進(jìn)入QQ空間進(jìn)行訪問(wèn),如果可以訪問(wèn),請(qǐng)檢查您的上網(wǎng)助手設(shè)置; 四、確認(rèn)您的防火墻沒(méi)有阻止Qzone.exe訪問(wèn)網(wǎng)絡(luò)。 QQ愛(ài)好者真誠(chéng)為您服務(wù)
假如給你一個(gè)登陸界面怎么測(cè),詳細(xì)點(diǎn)的,要有等價(jià)類,邊界值等黑盒方法測(cè)試,設(shè)計(jì)用例
概括了8個(gè)方面,這些都是要重點(diǎn)考慮的:1. 正確的用戶名和密碼,包括是合法的字符和合法長(zhǎng)度2. 錯(cuò)誤的用戶名,包括用戶名含有非法字符、長(zhǎng)度過(guò)長(zhǎng)、長(zhǎng)度過(guò)短 3. 正確的用戶名和錯(cuò)誤的密碼,包括非法字符、長(zhǎng)度過(guò)長(zhǎng)或過(guò)短4. 用戶名和密碼都為空5. 正確的用戶名,密碼為空6. 任意的用戶名和密碼,包括正確的或錯(cuò)誤的,也可以為空 7. 檢查UI友好性 檢查登錄界面設(shè)計(jì)是否合理,符合UI規(guī)范標(biāo)準(zhǔn) 界面符合習(xí)慣、美觀,按鈕對(duì)齊,輸入框?qū)R,無(wú)錯(cuò)別字,字體大小協(xié)調(diào),文字描述準(zhǔn)確8. 檢查安全性(SQL注入等)
簡(jiǎn)單的用戶登錄窗口設(shè)計(jì),vs2013與數(shù)據(jù)庫(kù)的鏈接問(wèn)題(求改代碼)
計(jì)算機(jī)名稱一般會(huì)自動(dòng)帶有 -PC帳戶名的話,一般不會(huì)有 -PC估計(jì)可呢個(gè)是 UID的問(wèn)題
我安裝數(shù)據(jù)庫(kù)的時(shí)候 是用Windows賬戶登錄的 數(shù)據(jù)庫(kù)都能登上
你用 windows 身份驗(yàn)證能登陸上,你沒(méi)看到嗎,帳戶名是 wuyunjiang
網(wǎng)頁(yè)設(shè)計(jì)怎樣將用戶申請(qǐng)的賬號(hào)密碼保存到數(shù)據(jù)庫(kù),然后用戶登陸的時(shí)候可以根據(jù)數(shù)據(jù)庫(kù)的賬號(hào)密碼是否正確登
方法有很多。我目前會(huì)的是php和mysql例如首先寫(xiě)一個(gè)注冊(cè)的前端頁(yè)面,有賬號(hào)密碼之類的輸入框,然后有一個(gè)提交按鈕。用戶輸入完必要的數(shù)據(jù),點(diǎn)擊提交后,通過(guò)事先寫(xiě)好的php文件把輸入框的輸入依次傳出數(shù)據(jù)庫(kù)。(數(shù)據(jù)庫(kù)里提前已經(jīng)創(chuàng)建好表了,所以php直接按照賬號(hào),密碼分別把內(nèi)容放進(jìn)去就可以了)用戶登錄的時(shí)候,也是輸入完內(nèi)容后點(diǎn)擊按鈕,這個(gè)時(shí)候通過(guò)php代碼把用戶名提交給數(shù)據(jù)庫(kù)進(jìn)行查找,找到匹配的以后再驗(yàn)證密碼。注意,要先驗(yàn)證用戶名,因?yàn)橛脩裘俏ㄒ坏模敲艽a有可能有重復(fù)的
如何設(shè)計(jì)安全的用戶登錄功能
Web上的用戶登錄功能應(yīng)該是最基本的功能了,可是在我看過(guò)一些站點(diǎn)的用戶登錄功能后,我覺(jué)得很有必要寫(xiě)一篇文章教大家怎么來(lái)做用戶登錄功能。下面的文章告訴大家這個(gè)功能可能并沒(méi)有你所想像的那么簡(jiǎn)單,這是一個(gè)關(guān)系到用戶安全的功能,希望大家能從下面的文章中能知道什么樣的方法才是一個(gè)好的用戶登錄功能。 用戶名和口令 首先,我們先來(lái)說(shuō)說(shuō)用戶名和口令的事。這并不是本站第一次談?wù)撨@個(gè)事了。如何管理自己的口令讓你知道怎么管理自己的口令,破解你的口令讓你知道在現(xiàn)代這樣速度的計(jì)算速度下,用窮舉法破解你的口令可能會(huì)是一件很輕松的事。在這里我想告訴從開(kāi)發(fā)者的角度上來(lái)做設(shè)計(jì)這個(gè)用戶名和口令的事。下面一幾件規(guī)則: 限制用戶輸入一些非常容易被破解的口令。如什么qwert,123456, password之類,就像twitter限制用戶的口令一樣做一個(gè)口令的黑名單。另外,你可以限制用戶口令的長(zhǎng)度,是否有大小寫(xiě),是否有數(shù)字,你可以用你的程序做一下校驗(yàn)。當(dāng)然,這可能會(huì)讓用戶感到很不爽,所以,現(xiàn)在很多網(wǎng)站都提供了UX讓用戶知道他的口令強(qiáng)度是什么樣的(比如這個(gè)有趣的UX),這樣可以讓用戶有一個(gè)選擇,目的就是告訴用戶——要想安全,先把口令設(shè)得好一點(diǎn)。 千萬(wàn)不要明文保存用戶的口令。正如如何管理自己的口令所說(shuō)的一樣,很多時(shí)候,用戶都會(huì)用相同的ID相同的口令來(lái)登錄很多網(wǎng)站。所以,如果你的網(wǎng)站明文保存的話,那么,如果你的數(shù)據(jù)被你的不良員工流傳出去那對(duì)用戶是災(zāi)難性的。所以,用戶的口令一定要加密保存,最好是用不可逆的加密,如MD5或是SHA1之類的有hash算法的不可逆的加密算法。CSDN曾明文保存過(guò)用戶的口令。(另,對(duì)于國(guó)內(nèi)公司的品行以及有關(guān)部門(mén)的管理方式,我不敢保證國(guó)內(nèi)網(wǎng)站以加密的方式保存你的口令。我覺(jué)得,做為一個(gè)有良知的人,我們應(yīng)該加密保存用戶的口令) 是否讓瀏覽器保存口令。我們有N多的方法可以不讓瀏覽器保存用戶名和口令。但是這可能對(duì)用戶來(lái)說(shuō)很不爽。因?yàn)樵谡鎸?shí)世界里誰(shuí)也記得不住那么多的口令。很多用戶可能會(huì)使用一些密碼管理工具來(lái)保存密碼,瀏覽器只是其中一種。是否讓瀏覽器保存這個(gè)需要你做決定,重點(diǎn)是看一下你的系統(tǒng)的安全級(jí)別是否要求比較高,如果是的話,則不要讓瀏覽器保存密碼,并在網(wǎng)站明顯的位置告訴用戶——保存口令最安全的地方只有你的大腦?! 】诹钤诰W(wǎng)上的傳輸。因?yàn)镠TTP是明文協(xié)議,所以,用戶名和口令在網(wǎng)上也是明文發(fā)送的,這個(gè)很不安全。你可以看看這篇文章你就明白了。要做到加密傳輸就必需使用HTTPS協(xié)議。但是,在中國(guó)還是有很多網(wǎng)站的Web登錄方式還在使用ActiveX控件,這可能成為IE6還大量存在的原因。我通常理解為這些ActiveX控件是為了反鍵盤(pán)記錄程序的。不過(guò),我依然覺(jué)ActiveX控件不應(yīng)該存在,因?yàn)樵趪?guó)外的眾多安全很重要的站點(diǎn)上都看不到ActiveX的控件的身影?! ∮脩舻卿洜顟B(tài) 首先,我想告訴大家的是,因?yàn)镠TTP是無(wú)狀態(tài)的協(xié)議,也就是說(shuō),這個(gè)協(xié)議是無(wú)法記錄用戶訪問(wèn)狀態(tài)的,其每次請(qǐng)求都是獨(dú)立的無(wú)關(guān)聯(lián)的,一筆是一筆。而我們的網(wǎng)站都是設(shè)計(jì)成多個(gè)頁(yè)面的,所在頁(yè)面跳轉(zhuǎn)過(guò)程中我們需要知道用戶的狀態(tài),尤其是用戶登錄的狀態(tài),這樣我們?cè)陧?yè)面跳轉(zhuǎn)后我們才知道是否可以讓用戶有權(quán)限來(lái)操作一些功能或是查看一些數(shù)據(jù)?! ∷?,我們每個(gè)頁(yè)面都需要對(duì)用戶的身份進(jìn)行認(rèn)證。當(dāng)然,我們不可能讓用戶在每個(gè)頁(yè)面上輸入用戶名和口令,這會(huì)讓用戶覺(jué)得我們的網(wǎng)站相當(dāng)?shù)腟B。為了實(shí)現(xiàn)這一功能,用得最多的技術(shù)就是瀏覽器的cookie,我們會(huì)把用戶登錄的信息存放在客戶端的cookie里,這樣,我們每個(gè)頁(yè)面都從這個(gè)cookie里獲得用戶是否登錄的信息,從而達(dá)到記錄狀態(tài),驗(yàn)證用戶的目的。但是,你真的會(huì)用cookie嗎?下面是使用cookie的一些原則。 千萬(wàn)不要在cookie中存放用戶的密碼。加密的密碼都不行。因?yàn)檫@個(gè)密碼可以被人獲取并嘗試離線窮舉。所以,你一定不能把用戶的密碼保存在cookie中。我看到太多的站點(diǎn)這么干了。 正確設(shè)計(jì)“記住密碼”。這個(gè)功能簡(jiǎn)直就是一個(gè)安全隱患,我覺(jué)得并不是所有的程序員都知道怎么設(shè)計(jì)這個(gè)事。一般的設(shè)計(jì)是——一時(shí)用戶勾選了這個(gè)功能,系統(tǒng)會(huì)生成一個(gè)cookie,cookie包括用戶名和一個(gè)固定的散列值,這個(gè)固定的散列值一直使用。這樣,你就可以在所有的設(shè)備和客戶上都可以登錄,而且可以有多個(gè)用戶同時(shí)登錄。這個(gè)并不是很安全。下面是一些更為安全的方法供你參考: ?。ā?2011/08/26,原文中有些小錯(cuò)誤,并且說(shuō)的不清楚,重新調(diào)整了一下——) 1)在cookie中,保存三個(gè)東西——用戶名,登錄序列,登錄token?! ∮脩裘好魑拇娣??! 〉卿浶蛄校阂粋€(gè)被MD5散列過(guò)的隨機(jī)數(shù),僅當(dāng)強(qiáng)制用戶輸入口令時(shí)更新(如:用戶修改了口令)?! 〉卿泃oken:一個(gè)被MD5散列過(guò)的隨機(jī)數(shù),僅一個(gè)登錄session內(nèi)有效,新的登錄session會(huì)更新它?! ?)上述三個(gè)東西會(huì)存在服務(wù)器上,服務(wù)器的驗(yàn)證用戶需要驗(yàn)證客戶端cookie里的這三個(gè)事。 3)這樣的設(shè)計(jì)會(huì)有什么樣的效果,會(huì)有下面的效果, a)登錄token是單實(shí)例登錄。意思就是一個(gè)用戶只能有一個(gè)登錄實(shí)例?! )登錄序列是用來(lái)做盜用行為檢測(cè)的。如果用戶的cookie被盜后,盜用者使用這個(gè)cookie訪問(wèn)網(wǎng)站時(shí),我們的系統(tǒng)是以為是合法用戶,然后更新“登錄token”,而真正的用戶回來(lái)訪問(wèn)時(shí),系統(tǒng)發(fā)現(xiàn)只有“用戶名”和“登錄序列”相同,但是“登錄token”不對(duì),這樣的話,系統(tǒng)就知道,這個(gè)用戶可能出現(xiàn)了被盜用的情況,于是,系統(tǒng)可以清除并更改登錄序列 和 登錄token,這樣就可以令所有的cookie失效,并要求用戶輸入口令。并給警告用戶系統(tǒng)安全。 4)當(dāng)然,上述這樣的設(shè)計(jì)還是會(huì)有一些問(wèn)題,比如:同一用戶的不同設(shè)備登錄,甚至在同一個(gè)設(shè)備上使用不同的瀏覽器保登錄。一個(gè)設(shè)備會(huì)讓另一個(gè)設(shè)備的登錄token和登錄序列失效,從而讓其它設(shè)備和瀏覽器需要重新登錄,并會(huì)造成cookie被盜用的假象。所以,你在服務(wù)器服還需要考慮- IP 地址, a)如果以口令方式登錄,我們無(wú)需更新服務(wù)器的“登錄序列”和 “登錄token”(但需要更新cookie)。因?yàn)槲覀冋J(rèn)為口令只有真正的用戶知道?! )如果 IP相同 ,那么,我們無(wú)需更新服務(wù)器的“登錄序列”和 “登錄token”(但需要更新cookie)。因?yàn)槲覀冋J(rèn)為是同一用戶有同一IP(當(dāng)然,同一個(gè)局域網(wǎng)里也有同一IP,但我們認(rèn)為這個(gè)局域網(wǎng)是用戶可以控制的。網(wǎng)吧內(nèi)并不推薦使用這一功能)?! )如果(IP不同 &&沒(méi)有用口令登錄),那么,“登錄token”就會(huì)在多個(gè)IP間發(fā)生變化(登錄token在兩個(gè)或多個(gè)ip間被來(lái)來(lái)回回的變換),當(dāng)在一定時(shí)間內(nèi)達(dá)到一定次數(shù)后,系統(tǒng)才會(huì)真正覺(jué)得被盜用的可能性很高,此時(shí)系統(tǒng)在后臺(tái)清除“登錄序列”和“登錄token“,讓Cookie失效,強(qiáng)制用戶輸入口令(或是要求用戶更改口令),以保證多臺(tái)設(shè)備上的cookie一致。 不要讓cookie有權(quán)限訪問(wèn)所有的操作。否則就是XSS攻擊,這個(gè)功能請(qǐng)參看新浪微博的XSS攻擊。下面的這些功能一定要用戶輸入口令: 1)修改口令?! ?)修改電子郵件。(電子郵件通過(guò)用來(lái)找回用戶密碼) 3)用戶的隱私信息?! ?)用戶消費(fèi)功能?! ?quán)衡Cookie的過(guò)期時(shí)間。如果是永不過(guò)期,會(huì)有很不錯(cuò)的用戶體驗(yàn),但是這也會(huì)讓用戶很快就忘了登錄密碼。如果設(shè)置上過(guò)期期限,比如2周,一個(gè)月,那么可能會(huì)好一點(diǎn),但是2周和一個(gè)月后,用戶依然會(huì)忘了密碼。尤其是用戶在一些公共電腦上,如果保存了永久cookie的話,等于泄露了帳號(hào)。所以,對(duì)于cookie的過(guò)期時(shí)間我們還需要權(quán)衡?! ≌一乜诹畹墓δ堋 ≌一乜诹畹墓δ芤欢ㄒ峁5呛芏嗯笥巡⒉恢涝趺磥?lái)設(shè)計(jì)這個(gè)功能。我們有很多找回口令的設(shè)計(jì),下面我逐個(gè)點(diǎn)評(píng)一下?! ∏f(wàn)不要使用安全問(wèn)答。事實(shí)證明,這個(gè)環(huán)節(jié)很煩人,而且用戶并不能很好的設(shè)置安全問(wèn)答。什么,我的生日啊,我母親的生日,等等。因?yàn)榻裉斓幕ヂ?lián)網(wǎng)和以前不一樣了,因?yàn)镾NS,今天的互聯(lián)比以前更真實(shí)了,我可以上facebook,開(kāi)心,人人網(wǎng),LinkedIn查到你的很多的真實(shí)的信息。通過(guò)這些信息我可以使用安全問(wèn)答來(lái)重設(shè)你的口令。這里需要說(shuō)一下 Facebook,F(xiàn)acebook的安全問(wèn)答很強(qiáng)大,還要你通過(guò)照片認(rèn)人,呵呵?! 〔灰刂糜脩舻拿艽a。因?yàn)檫@有可能讓用戶的密碼遭到惡意攻擊。當(dāng)然,你要發(fā)個(gè)郵件給用戶讓其確認(rèn),用戶點(diǎn)擊郵件中的一個(gè)鏈接,你再重置。我并不推薦這樣的方法,因?yàn)橛脩粢话愣紩?huì)用筆記下來(lái)這個(gè)很難記的口令,然后登錄系統(tǒng),因?yàn)榈卿浵到y(tǒng)時(shí)使用了“記住密碼”的功能,所以導(dǎo)致用戶不會(huì)去修改密碼,從而要么導(dǎo)到被寫(xiě)下來(lái)的密碼被人盜取,要么又忘記了密碼?! 『靡稽c(diǎn)的做法——通過(guò)郵件自行重置。當(dāng)用戶申請(qǐng)找回口令功能的時(shí)候,系統(tǒng)生成一個(gè)MD5唯一的隨機(jī)字串(可通過(guò)UID+IP+timestamp+隨機(jī)數(shù)),放在數(shù)據(jù)庫(kù)中,然后設(shè)置上時(shí)限(比如1小時(shí)內(nèi)),給用戶發(fā)一個(gè)郵件,這個(gè)連接中包含那個(gè)MD5的字串的鏈接,用戶通過(guò)點(diǎn)擊那個(gè)鏈接來(lái)自己重新設(shè)置新的口令?! 「靡稽c(diǎn)的做法——多重認(rèn)證。比如:通過(guò)手機(jī)+郵件的方式讓用戶輸入驗(yàn)證碼。手機(jī)+郵件可能還不把握,因?yàn)槭謾C(jī)要能會(huì)丟了,而我的手機(jī)可以訪問(wèn)我的郵箱。所以,使用U盾,SecureID(一個(gè)會(huì)變化的6位數(shù)token),或是通過(guò)人工的方式核實(shí)用戶身份。當(dāng)然,這主要看你的系統(tǒng)的安全級(jí)別了?! 】诹钐綔y(cè)防守 使用驗(yàn)證碼。驗(yàn)證碼是后臺(tái)隨機(jī)產(chǎn)生的一個(gè)短暫的驗(yàn)證碼,這個(gè)驗(yàn)證碼一般是一個(gè)計(jì)算機(jī)很難識(shí)別的圖片。這樣就可以防止以程序的方式來(lái)嘗試用戶的口令。事實(shí)證明,這是最簡(jiǎn)單也最有效的方式。當(dāng)然,總是讓用戶輸入那些肉眼都看不清的驗(yàn)證碼的用戶體驗(yàn)不好,所以,可以折中一下。比如Google,當(dāng)他發(fā)現(xiàn)一個(gè)IP地址發(fā)出大量的搜索后,其會(huì)要求你輸入驗(yàn)證碼。當(dāng)他發(fā)現(xiàn)同一個(gè)IP注冊(cè)了3個(gè)以上的gmail郵箱后,他需要給你發(fā)短信方式或是電話方式的驗(yàn)證碼?! ∮脩艨诹钍〈螖?shù)。調(diào)置口令失敗的上限,如果失敗過(guò)多,則把帳號(hào)鎖了,需要用戶以找回口令的方式來(lái)重新激活帳號(hào)。但是,這個(gè)功能可能會(huì)被惡意人使用。最好的方法是,增加其嘗試的時(shí)間成本(以前的這篇文章說(shuō)過(guò)一個(gè)增加時(shí)間成本的解密算法)。如,兩次口令嘗試的間隔是5秒鐘。三次以上錯(cuò)誤,帳號(hào)被臨時(shí)鎖上30秒,5次以上帳號(hào)被鎖1分鐘,10次以上錯(cuò)誤帳號(hào)被鎖4小時(shí)…… 系統(tǒng)全局防守。上述的防守只針對(duì)某一個(gè)別用戶。惡意者們深知這一點(diǎn),所以,他們一般會(huì)動(dòng)用“僵尸網(wǎng)絡(luò)”輪著嘗試一堆用戶的口令,所以上述的那種方法可能還不夠好。我們需要在系統(tǒng)全局域上監(jiān)控所有的口令失敗的次數(shù)。當(dāng)然,這個(gè)需要我們平時(shí)沒(méi)有受到攻擊時(shí)的數(shù)據(jù)做為支持。比如你的系統(tǒng),平均每天有5000次的口令錯(cuò)誤的事件,那么你可以認(rèn)為,當(dāng)口令錯(cuò)誤大幅超過(guò)這個(gè)數(shù)后,而且時(shí)間相對(duì)集中,就說(shuō)明有黑客攻擊。這個(gè)時(shí)候你怎么辦?一般最常見(jiàn)使用的方法是讓所有的用戶輸錯(cuò)口令后再次嘗試的時(shí)間成本增加?! ∽詈?,再說(shuō)一下,關(guān)于用戶登錄,使用第三方的 OAuth 和 OpenID 也不失為一個(gè)很不錯(cuò)的選擇?! ?
熱門(mén)問(wèn)答
- 模版還是模板
- 免費(fèi)建站
- 淘寶網(wǎng)頁(yè)是哪個(gè)公司做的
- 免費(fèi)制作企業(yè)
- 簡(jiǎn)單個(gè)人網(wǎng)站模板
- 制作網(wǎng)站的的網(wǎng)站
- 怎么學(xué)網(wǎng)頁(yè)設(shè)計(jì)
- html模板文件
- 手機(jī)網(wǎng)站的優(yōu)化
- 什么是排版設(shè)計(jì)
- 廣告公司網(wǎng)站制作
- 網(wǎng)站優(yōu)化是什么
- 怎么用手機(jī)制作簡(jiǎn)歷
- 武漢建設(shè)網(wǎng)站
- 網(wǎng)站建設(shè)公司怎么樣
- seo優(yōu)化培訓(xùn)
- 網(wǎng)站的建設(shè)哪家好
- 制作簡(jiǎn)歷圖片
- 什么是網(wǎng)絡(luò)推廣優(yōu)化
- 網(wǎng)頁(yè)制作學(xué)那些