使用时间戳限制不正确的登录尝试次数

Question

在最近15分钟内4次登录尝试失败后，让用户验证验证码的正确方法是什么？我已经得到了一切正常，但没有时间戳查询的一部分。更具体地讲，可显示的验证码后，4失败的尝试，当用户尝试登录5次左右就可以，不管15分钟或30分钟是否已经过去了......

$query1 = "SELECT login_attempts from users WHERE email = '$email' AND last_login < NOW() - INTERVAL 15 MINUTE"; 
$result1 = mysqli_query($dbc, $query1) OR die(mysqli_error()); 
$row = mysqli_fetch_array($result1); 
$fail = (int)$row['login_attempts']; 

Answer 1

如果我的理解是正确的，您必须检查第4次最后一次不成功的登录尝试是否在15分钟之前。

为实现此目的，您必须将最后四次失败登录的时间戳存储在数据库中。

1. 在数据库中创建一个名为unsuccesful_login_timestamps的字段作为text或varchar，其大小较大。我们将在此字段中以逗号分隔的形式存储最后四次不成功登录的UNIX时间戳。

2. 当用户试图登录，实现以下逻辑
   
   如果用户名和密码是有效的，让用户登录（您可以清除unsuccesful_login_timestamps领域，如果你想在登录成功的是）。否则，运行以下代码。
   

   $last_login_string = {{ get unsuccesful_login_timestamps value for this user from database }} 
   $last_login_string = update_last_login($last_login_string); 
   $fourth_last_login = get_4th_last_login($last_login_string); 
   $time_difference = time() - $fourth_last_login; 
   
   {{Update unsuccesful_login_timestamps in db with $last_login_string}} 
   
   if($time_difference <900){ 
       //show captcha 
   }else{ 
       //no_need_for_captcha 
   } 
   //Method to update last 4 unsuccessful logins by removing 
   // the last one from the starting and append the latest time in the end 
   function update_last_login($last_login_string){ 
       $time_array = array(); 
       if(strlen($last_login_string) > 0){ 
        $time_array = explode(",",$last_login_string); 
        $size = count($time_array); 
        if($size ==0){ //first attempt 
         $last_login_string = time(); 
        }else if($size == 4){ //>=4th attempt 
         $time_array[4]=time(); 
         array_shift($time_array); 
         $last_login_string = implode(",",$time_array); 
        }else{ // >0, but <4 attempts 
         $time_array[$size]=time(); 
         $last_login_string = implode(",",$time_array); 
        } 
        return $last_login_string; 
       }else{ 
        return time(); 
       } 
   } 
   
   function get_4th_last_login($last_login_string){ 
       $time_array = array(); 
       $time_array = explode(",",$last_login_string); 
       if($size !=4){ 
        $last_login_time time(); 
       }else{ 
        $last_login_time = $time_array[0]; 
       } 
       return $last_login_time; 
   } 
   

Answer 2

我并不十分熟悉的MySQL自己，但DATE_SUB可能工作：

SELECT login_attempts from users WHERE email = '$email' AND last_login BETWEEN DATE_SUB(NOW(), INTERVAL 15 MINUTE) AND NOW() 

https://dev.mysql.com/doc/refman/5.5/en/date-and-time-functions.html#function_date-add

Answer 3

编辑：这个答案是假设你是保存时间戳（使用time()或$_SERVER['REQUEST_TIME']）作为last_login的价值列在users表中。

你可以做的是使用$_SERVER['REQUEST_TIME']声明$time变量，做这样的事情：

$time = $_SERVER['REQUEST_TIME'] - 900; // Current time minus 900 seconds (15 minutes) 
$query1 = "SELECT login_attempts from users WHERE email = '$email' AND last_login < $time"; 

如果你想改变的持续时间，只是改变了900任何值（单位：秒）你想。