我有兴趣在我的 Web 应用程序上实现一项功能，该功能可以在用户上次访问后发生可疑登录时发出警告。
我的下意识反应是使用客户端的 IP 地址，但经过我的研究，这似乎是一个糟糕的主意。动态分配和 NAT 表明这是不可靠的。
我的第二个想法是使用地理定位服务。但我能找到的要么是基于 IP 的，要么是超出我的价格范围的。
我的第三个想法是实现类似 Facebook 的“注册此设备”提示，但我不确定这是如何以可靠的方式工作的。
有人对我如何以合理的置信度识别设备或位置有任何想法吗？
问问题
1499 次
1 回答
15
这取决于您的业务规则。您可以根据几个因素对其进行评分。
- 不同IP：+5
- 不同子网：+10
- 不同国家：+100
- 成功前 3 次或更多尝试：+50
- 2个或更多同时登录：+50
- 与上次不同的浏览器：+5
等等
然后你可以设置规则说：
- 0-20：告诉用户下次登录成功。
- 21-50：开始让他们在两次登录之间等待 5 分钟。
- 51-100：锁定帐户并通过电子邮件确认强制他们解锁。
我总是会像 gmail 一样向他们显示登录的最后日期和 IP。Gmail 还具有您可以查看的登录历史记录。
编辑：这是一个非常古老的答案，仍然有一些观点。今天我可能会推荐一个 2FA 解决方案。什么是双重身份验证？
于 2013-02-13T19:24:27.247 回答