撞库告警突然增加，先别把所有处置都压在来源地址上。攻击者可能分散请求来源，而家庭、校园或办公网络里的正常用户也可能共用出口。更稳妥的做法，是围绕账号、设备和来源建立多层限制。登录接口撞库防护的频率控制设计，关键不在某个固定阈值，而在于让不同风险信号触发不同强度的动作。
为什么封来源地址不够
撞库通常是用已泄露的用户名和密码组合尝试登录。若只按来源地址计数，分散请求容易绕过限制；反过来，单个出口下许多真实用户也可能一起受限。只按账号计数同样有风险：攻击者可集中尝试某个用户名，造成账号被锁，形成拒绝服务。
因此，登录接口撞库防护的频率控制设计应同时看账号维度频控、设备指纹和来源行为。设备指纹是用于识别客户端特征的信号，并非绝对身份；浏览器升级、隐私设置或设备更换都会影响识别，不能单独作为封禁依据。
把限制拆成三层，再逐步加码
账号层：抑制针对单个用户名的尝试
按规范化后的账号标识统计短时失败次数，未知账号也采用相同的外部响应，避免通过错误提示探测账号是否存在。达到内部阈值后，优先增加验证码或要求额外验证，而不是长期锁死账号。阈值可从每个账号连续失败约5至10次后触发挑战开始评估；具体次数和统计窗口需结合登录量、误报率及账号安全策略调整。
设备与来源层：识别重复模式
设备维度可观察同一客户端短时间内尝试的账号数量、失败比例和请求节奏；来源维度则用于识别突发流量与重复自动化行为。对共享出口，宜先限速或提高验证要求，再根据多项信号决定是否临时阻断。验证码适合增加自动化成本，但无障碍体验、可访问性和被自动识别的风险都要纳入评估。
风险动作分级
- 低风险：正常登录流程，记录失败与成功事件。
- 中风险：提高验证码或二次验证要求，并放缓该账号或设备的尝试速度。
- 高风险：对相关维度实施短时限制，同时保留账号找回等安全通道；限制到期后重新评估，不直接无限期封禁。
上线时按这几步执行
- 梳理登录成功、失败、验证码通过及账号找回等事件，确保统计口径一致；日志避免记录明文密码。
- 分别建立账号、设备、来源计数，并明确计数窗口、过期时间和阈值。若登录服务运行在多台机器上，计数需由各实例共享并保证更新一致，不能只依赖单机内存。
- 先以观察模式运行，比较触发频率、误拦截情况与正常登录变化；再逐步启用挑战和限速，保留快速回退开关。
- 告警中同步展示失败率、受影响账号数、设备与来源分布、挑战通过率及登录成功率。阈值变化后复核误报，并为客服和账号恢复流程准备清晰说明。
登录接口撞库防护的频率控制设计还要防止计数器被滥用：不要因一次失败就触发长时间锁定，也不要向客户端透露具体限额。对于高风险登录，可结合风险认证或已有的多因素认证；恢复账号时应验证用户身份，避免攻击者借恢复流程绕过限制。
常见问题
阈值应该设成多少？
没有适用于所有系统的固定值。可用约5至10次连续失败作为初始观察区间，再按正常流量、误报和安全要求调整。
账号被频控后要不要锁定？
优先采用短时降速、验证码或额外验证。长期锁定可能被攻击者利用来阻断用户登录。
设备指纹不稳定怎么办？
将其作为辅助信号，与账号失败次数、来源变化等组合判断；识别不确定时采取较轻的挑战措施。
告警增加时，应同步检查账号、设备和来源三类计数是否生效，并根据误报与攻击趋势逐步调整。多层、可回退的登录接口撞库防护的频率控制设计，比只封来源地址更能兼顾拦截效果与正常用户体验。
