网站登录如何防止撞库？

[fox0001]

公司网站再次遭遇撞库。对方在圣诞节前一周，大约试了 200 万个 email 登录。估计以为会做圣诞节促销，流量暴增而会忽略其行为吧。由于登录错误的日志暴涨而被发现了。

对方用了一大堆 IP 来撞库，大概每秒 7 个请求，一个 IP 大约隔 10 秒访问一次登录请求。而且每个 IP 都是从首页开始访问，一定程度上模拟了用户行为。

目前网站登录错误后会要求输入图片验证码，但是该验证比较简单。虽然是个问题，但是再复杂的验证码也能破解。

那么除了加强验证码，还能如何防止撞库？

[xencdn]

输入用户名，手动点下一步才能输入密码

参考 https://developer.apple.com/ 这种登入方案

[coolloves]

@crab 银行不都这样?icbc 貌似也这样

[edward8628]

网络安全当然是层层防护啊，增加撞库成本。api 签名，蜜罐，异地登陆或不同设备登陆开启 2fa，手机或者邮箱收取验证码。其实还是收 6 位验证码最有效，但是用了验证码，被用户骂死了，被客服骂死了。