如果有人试图使用暴力破解,他可能会有一系列IP地址可供使用。您可以在每次尝试后增加延迟,并使其针对特定的用户名。验证码可以被攻破(程度不同),因此设置一个验证码阈值、一个“减慢速度”的阈值,然后将其封锁一个小时。请注意,以这种方式进行暴力破解非常愚蠢,所以我更担心攻击者通过注入或其他方式从数据库中获取密码副本。