如何防御密码爆破（理论）

暴力破解防御：

1.sleep（延迟返回，降低单线程的爆破速度） 

2. csrf token（增加一次跟服务器之间的通信，不允许多线程访问）

3.限制尝试次数，锁定账户

4.验证码

5.行为识别

验证码（二次验证）

国外还有reCAPTCHA（IP验证）

行为识别（异地登录等）

 

还有WAF的安全产品

可以识别异常连接，暴力破解等，并进行自动拦截

强制修改密码

比如半年不登录会强制要求改密码，虽然会损害用户的体验，但保证了用户账户密码的安全

取消密码登录

因为密码的作用是身份的识别，权限的识别，但如今密码已经不够安全，直接使用微信或手机号进行登录，比如segmentfault，知乎等

个人用户安全建议

1.使用复杂密码

2.不同网站使用不同密码（记不住可使用密码管理器）

3.定期修改密码

4.防止被钓鱼