但是我在和很多工作經(jīng)驗(yàn)較短的同學(xué)面試或溝通的時(shí)候，發(fā)現(xiàn)很多同學(xué)雖然都有在簡歷上寫：負(fù)責(zé)項(xiàng)目的登錄/注冊功能模塊的開發(fā)和設(shè)計(jì)工作，但是都只是簡單的實(shí)現(xiàn)了功能邏輯，在安全方面并沒有考慮太多。

這篇文章主要是和大家聊一聊，在設(shè)計(jì)一個(gè)登錄接口時(shí)，不僅僅是功能上的實(shí)現(xiàn)，在安全方面，我們還需要考慮哪些地方。

還有很多關(guān)于接口設(shè)計(jì)的文章，關(guān)注公眾號 Java后端 回復(fù) 666 下載。

暴力破解

偽代碼如下：

# 密碼字典 
password_dict = [] 
# 登錄接口 
login_url = ''??
def?attack(username):??
?for?password in?password_dict: 
?????data = {'username': username, 'password': password} 
???????content = requests.post(login_url, data).content.decode('utf-8') 
???????if?'login success'?in?content: 
???????????print('got it! password is : %s'?% password)

那么這種情況，我們要怎么防范呢？

驗(yàn)證碼

有聰明的同學(xué)就想到了，我可以在它密碼錯(cuò)誤達(dá)到一定次數(shù)時(shí)，增加驗(yàn)證碼校驗(yàn)！比如我們設(shè)置，當(dāng)用戶密碼錯(cuò)誤達(dá)到3次之后，則需要用戶輸入圖片驗(yàn)證碼才可以繼續(xù)登錄操作：

偽代碼如下：

fail_count = get_from_redis(fail_username) 
if?fail_count >= 3: 
?if?captcha is?None: 
??return?error('需要驗(yàn)證碼') 
????check_captcha(captcha) 
success = do_login(username, password) 
if?not?success: 
?set_redis(fail_username, fail_count + 1)

偽代碼未考慮并發(fā)，實(shí)際開發(fā)可以考慮加鎖。

這樣確實(shí)可以過濾掉一些非法的攻擊，但是以目前的OCR技術(shù)來說的話，普通的圖片驗(yàn)證碼真的很難做到有效的防止機(jī)器人（我們就在這個(gè)上面吃過大虧）。

當(dāng)然，我們也可以花錢購買類似于三方公司提供的滑動驗(yàn)證等驗(yàn)證方案，但是也并不是100%的安全，一樣可以被破解（慘痛教訓(xùn)）。

登錄限制

那這時(shí)候又有同學(xué)說了，那我可以直接限制非正常用戶的登錄操作，當(dāng)它密碼錯(cuò)誤達(dá)到一定次數(shù)時(shí)，直接拒絕用戶的登錄，隔一段時(shí)間再恢復(fù)。比如我們設(shè)置某個(gè)賬號在登錄時(shí)錯(cuò)誤次數(shù)達(dá)到10次時(shí)，則5分鐘內(nèi)拒絕該賬號的所有登錄操作。

偽代碼如下：

fail_count = get_from_redis(fail_username) 
locked = get_from_redis(lock_username) 
??
if?locked: 
?return?error('拒絕登錄') 
if?fail_count >= 3: 
?if?captcha is?None: 
??return?error('需要驗(yàn)證碼') 
????check_captcha(captcha) 
success = do_login(username, password) 
if?not?success: 
?set_redis(fail_username, fail_count + 1) 
????if?fail_count + 1?>= 10: 
?????# 失敗超過10次，設(shè)置鎖定標(biāo)記 
?????set_redis(lock_username, true, 300s)

umm，這樣確實(shí)可以解決用戶密碼被爆破的問題。但是，這樣會帶來另一個(gè)風(fēng)險(xiǎn)：攻擊者雖然不能獲取到網(wǎng)站的用戶信息，但是它可以讓我們網(wǎng)站所有的用戶都無法登錄！

攻擊者只需要無限循環(huán)遍歷所有的用戶名（即使沒有，隨機(jī)也行）進(jìn)行登錄，那么這些用戶會永遠(yuǎn)處于鎖定狀態(tài)，導(dǎo)致正常的用戶無法登錄網(wǎng)站！

IP限制

那既然直接針對用戶名不行的話，我們可以針對IP來處理，直接把攻擊者的IP封了不就萬事大吉了嘛。我們可以設(shè)定某個(gè)IP下調(diào)用登錄接口錯(cuò)誤次數(shù)達(dá)到一定時(shí)，則禁止該IP進(jìn)行登錄操作。

偽代碼如下：

ip = request['IP'] 
fail_count = get_from_redis(fail_ip) 
if?fail_count > 10: 
?return?error('拒絕登錄') 
# 其它邏輯 
# do something() 
success = do_login(username, password) 
if?not?success: 
?set_redis(fail_ip, true, 300s)

這樣也可以一定程度上解決問題，事實(shí)上有很多的限流操作都是針對IP進(jìn)行的，比如niginx的限流模塊就可以限制一個(gè)IP在單位時(shí)間內(nèi)的訪問次數(shù)。

但是這里還是存在問題：

• 比如現(xiàn)在很多學(xué)校、公司都是使用同一個(gè)出口IP，如果直接按IP限制，可能會誤殺其它正常的用戶
• 現(xiàn)在這么多VPN，攻擊者完全可以在IP被封后切換VPN來攻擊

手機(jī)驗(yàn)證

1. 當(dāng)用戶輸入密碼次數(shù)大于3次時(shí)，要求用戶輸入驗(yàn)證碼（最好使用滑動驗(yàn)證）
2. 當(dāng)用戶輸入密碼次數(shù)大于10次時(shí)，彈出手機(jī)驗(yàn)證，需要用戶使用手機(jī)驗(yàn)證碼和密碼雙重認(rèn)證進(jìn)行登錄

手機(jī)驗(yàn)證碼防刷就是另一個(gè)問題了，這里不展開，以后再有時(shí)間再聊聊我們在驗(yàn)證碼防刷方面做了哪些工作。

fail_count = get_from_redis(fail_username) 
??
if?fail_count > 3: 
?if?captcha is?None: 
??return?error('需要驗(yàn)證碼') 
????check_captcha(captcha) 
??????
if?fail_count > 10: 
?# 大于10次，使用驗(yàn)證碼和密碼登錄 
?if?dynamic_code is?None: 
?????return?error('請輸入手機(jī)驗(yàn)證碼') 
????if?not?validate_dynamic_code(username, dynamic_code): 
?????delete_dynamic_code(username) 
?????return?error('手機(jī)驗(yàn)證碼錯(cuò)誤') 
??
?success = do_login(username, password, dynamic_code) 
??????
?if?not?success: 
?????set_redis(fail_username, fail_count + 1)

中間人攻擊？

什么是中間人攻擊

HTTPS

• 內(nèi)容加密
• 數(shù)據(jù)完整性
• 身份驗(yàn)證

具體的HTTPS原理這里就不再擴(kuò)展了，大家可以自行Google

加密傳輸

• 用戶名可以在客戶端使用非對稱加密，在服務(wù)端解密
• 密碼可以在客戶端進(jìn)行MD5之后傳輸，防止暴露密碼明文

其它

• 操作日志，用戶的每次登錄和敏感操作都需要記錄日志（包括IP、設(shè)備等）
• 異常操作或登錄提醒，有了上面的操作日志，那我們就可以基于日志做風(fēng)險(xiǎn)提醒，比如用戶在進(jìn)行非常登錄地登錄、修改密碼、登錄異常時(shí)，可以短信提醒用戶
• 拒絕弱密碼 注冊或修改密碼時(shí)，不允許用戶設(shè)置弱密碼
• 防止用戶名被遍歷 有些網(wǎng)站在注冊時(shí)，在輸入完用戶名之后，會提示用戶名是否存在。這樣會存在網(wǎng)站的所有用戶名被泄露的風(fēng)險(xiǎn)（遍歷該接口即可），需要在交互或邏輯上做限制
• ...

后記

更多精彩推薦
?? ?Google 鼓勵(lì)的 13 條代碼審查標(biāo)準(zhǔn)，建議收藏！
????這些SQL錯(cuò)誤用法，如果經(jīng)常犯，說明你的水平還很low...
?? ?為啥不能用uuid做MySQL的主鍵？
?? ?微信第 1 行代碼曝光！
?? ?奇葩公司按代碼行數(shù)算工資，員工一個(gè)月提成2.6萬遭開除
最后，推薦給大家一個(gè)有趣有料的公眾號：寫代碼的渣渣鵬,回復(fù) 面試 或 資源 送一你整套開發(fā)筆記