最近公司有个项目被客户拿去进行漏洞扫描,发现用户登录太简单,容易被暴力破解.当然发现的问题很多,什么反射型XSS,存储型XSS,敏感信息泄露等等.但是我们今天不讲这么多,就说说如何修复暴力破解的问题.由于登录界面未设置图形验证码,也没有对同一用户在连续登录错误时进行限制,导致攻击者可以尝试破解任意已知用户的密码.所以针对这种情况,第一,对同一用户连续登录在规定时间内的次数进行限制,超过则锁定用户.第二,添加图形验证码. 首先给你们看看我的项目结构: user.sql数据: ; -- ------