RateLimiter：解决 `tooManyAttempts` 方法问题，有效防范安全攻击

php

2024-03-03 11:41:48

RateLimiter：实现安全功能及解决 tooManyAttempts 方法问题

简介

RateLimiter 是一个强大的 Laravel 工具，可以防止暴力破解和 DoS 攻击等安全问题。本文将深入探讨如何使用 tooManyAttempts 方法在登录失败超过一定次数后实施延迟保护。

问题

当你使用 RateLimiter 的 tooManyAttempts 方法来限制用户登录尝试时，你可能会遇到它不按预期工作的情况。这通常是由于未正确指定时间范围。

解决方法

tooManyAttempts 方法不仅需要一个唯一的键（例如用户 IP 地址）和允许的尝试次数上限，还需要一个时间范围参数。默认情况下，此时间范围为 1 分钟。为了解决问题，请使用 within 方法显式指定时间范围，如下所示：

if (RateLimiter::tooManyAttempts($key, $maxAttempts, 60)) {
  // 用户在过去 1 分钟内失败了超过 3 次登录尝试。触发延迟。
}

实现

在 AuthController 中，你需要在登录失败后调用 delayOnFailedLoginAttempt 方法来触发延迟。以下是如何实现此方法：

public function delayOnFailedLoginAttempt($request)
{
  $key = $this->throttleKey($request);
  $maxAttempts = config('app.max_failed_login_attempt');
  $delayInSeconds = config('app.delay_after_failed_login_attempt');

  if (RateLimiter::tooManyAttempts($key, $maxAttempts, 60)) {
    sleep($delayInSeconds);
  }
}

其他注意事项

确保你已经正确配置 RateLimiter 中间件。
在 RateLimiter 的日志中检查任何错误或异常。

常见问题解答

为什么使用 within 方法？
within 方法允许你指定要检查尝试次数的时间范围。
如何自定义时间范围？
在 within 方法中传入一个整数值（以秒为单位）来指定时间范围。
如果用户尝试多次登录，如何重置计数器？
RateLimiter 会自动在指定的时间范围（在本例中为 60 秒）后重置计数器。
我可以使用多个 tooManyAttempts 检查吗？
是的，你可以使用多个 tooManyAttempts 检查来强制执行不同的延迟规则。
为什么我的测试仍然失败？
检查 RateLimiter 的日志以查看是否有任何错误或异常。确保你已经正确配置 RateLimiter 中间件，并且你是在登录失败后调用 delayOnFailedLoginAttempt 方法。