Web应用程序的访问控制

Question

我正在制作一个具有登录页面（使用Facelets with JSF 2.0）的Web应用程序，该应用程序在重定向到isLoggedIn或错误页面之前检查凭证。我有权访问部署应用程序的服务器 ，并将Tomcat用作容器。我想记录明确尝试执行暴力攻击的IP地址。我现在的想法是以下，但我不知道如何获得有问题的IP，即使我看起来有点笨拙，那么做到这一点的标准/好方法是什么？我宁愿不必使用任何其他JSF实现的 。

• 在使用日志框架Tomcat的日志文件夹的应用程序特定的日志文件 其中失败的登录保存有恶意IP和登录时间写日志消息（豆类）。

• 创建读取日志的脚本并检查是否有任何ips尝试失败率很高。将这些ips添加到hosts.deny。

Answer 1

如果您使用领域验证检查Tomcat's LockOutRealm。它不写host.deny文件，但它也可以防止暴力攻击。