如果您不想使用数据库来检查“登录失败次数”，那么只需使用cookie并进行检查。当然，他们可以删除它，但这很麻烦。
然而，我怀疑您已经从数据库中获取了用户名和密码，为什么不在此同时获取最后的登录失败次数呢？
if (isset($_POST['submit_login'])) {
if (isset($_POST['username']) && isset($_POST['password'])) {
$username = mysql_real_escape_string($_POST['username']);
$password = mysql_real_escape_string($_POST['password']);
// id = unique primary key
$rs = mysql_query('SELECT id,Username,Password,Failed_logins,IP_address FROM Users WHERE Username = '.$username.'');
$num = mysql_num_rows($rs);
if ($num > 0) {
// I would add a password hash here to $password, and check against the hashed Password from the database
// But let's check the clean passwords
$row = mysql_fetch_array($rs);
if ($password == $row['Password']) {
// Successful login, set session or whatever you need
// Reset failed logins
mysql_query('UPDATE Users SET Failed_logins = 0 WHERE id = '.$row['id'].'');
header('location: success.php');
} else {
// Failed password check
if ($row['Failed_logins'] > 3) {
// Redirect to captcha
header('location: captcha.php');
} else {
$ip = $_SERVER['REMOTE_ADDR'];
if ($row['IP_address'] != $ip) {
// New ip adress, reset failed logins
$failed_logins = 0;
} else {
// Increment failed logins
$failed_logins = $row['Failed_logins']+1;
}
mysql_query('UPDATE Users SET Failed_logins = '.$failed_logins.',IP_address = '.$ip.' WHERE id = '.$row['id'].' ');
} // End check Failed_logins > 3
}
} else {
// No such Username found in database
$error = 'no_such_username';
} // End username check from database
} else {
// Either username or password is missing
$error = 'incomplete_form';
} // end check for username and password
} // end main submit_login check
类似这样的内容。
编辑：
这是非常老的代码，现在我看到一些问题。但是，至少您应该始终使用PDO（预处理语句）将数据插入数据库中。
你要保护什么？
随机用户内容，用户名。
银行信息（我怀疑……）或其他敏感数据，IP地址可能可以，只要使用范围。
你是在问如何做还是应该使用哪个？
你确实需要时间，否则如何确定登录尝试是否已过期？如果我在10年的时间跨度内连续失败4次登录，我将被阻止。你想要阻止那些在短时间内尝试多次登录的人。
我建议你使用数据库 - 因为这样你可以同时保留详细的登录历史记录。但像memcached这样的基于内存的解决方案也足够了。
关于要实施哪种安全措施，我建议组合使用！
将使用的用户名和IP地址组合起来并存储到你的数据库中。
最好的方法是使用数据库。
您需要在数据库中创建一个单独的表，该表将存储三个变量：
(a) IP地址 (尝试登录的用户所在的位置) (b) 登录尝试次数 (c) 日期/时间 (或：当前时间戳)
这种方法唯一的问题就是第一个变量:IP地址
如果用户在网吧里？或者使用公共Wi-Fi？ 或者热点？或学校？办公室? 等等
如果您阻止IP地址，则会影响从该位置尝试登录您的网站的所有人。
如果您的网站涉及银行、军事设施或五角大楼之类的事情，则这不是问题。
但是，如果您的网站是一个商业（买卖、游戏或其他），那么阻止特定的地址只会让您的客户恼火！