Blokowanie kont i ochrona przed atakami brute force
Naucz się chronić endpointy logowania przed odgadywaniem haseł, śledząc nieudane próby i tymczasowo blokując konta w Spring Security.
Blokowanie kont i ochrona przed atakami brute force to bezpłatna lekcja Spring Security 6 & JWT Authentication na CoddyKit. To lekcja 4 z 4. Możesz przeczytać całą lekcję poniżej za darmo — a potem ćwiczyć ją interaktywnie w przeglądarce z wbudowanym edytorem kodu i tutorem AI dostępnym 24/7. To część ścieżki edukacyjnej Spring Security 6 & JWT Authentication, a Twój postęp synchronizuje się między webem a aplikacją CoddyKit. Kurs Spring Security 6 & JWT Authentication zawiera 4 lekcji w sumie.
Części tej lekcji nie zostały jeszcze przetłumaczone i są wyświetlane po angielsku.
The Brute-Force Threat
Attackers automate thousands of login attempts to guess passwords. Without limits, even rate limiting may not stop a slow, distributed guessing campaign against a single account.
Lockout as Defense
Account lockout blocks login for an account after too many failed attempts within a window. This makes online guessing impractical.
Listening for Failures
Spring Security publishes events on authentication outcomes. Listen for AuthenticationFailureBadCredentialsEvent to count failures.
@EventListener
public void onFailure(AuthenticationFailureBadCredentialsEvent e) {
String user = (String) e.getAuthentication().getPrincipal();
attempts.recordFailure(user);
}Tracking Attempt Counts
Keep a counter per username (or per username+IP). A simple cache with a time-to-live resets the count automatically after the window passes.
void recordFailure(String user) {
int count = cache.getOrDefault(user, 0) + 1;
cache.put(user, count, Duration.ofMinutes(15));
}Resetting on Success
A successful login should clear the counter, so legitimate users who mistyped a few times are not punished later.
@EventListener
public void onSuccess(AuthenticationSuccessEvent e) {
attempts.reset(e.getAuthentication().getName());
}Enforcing the Lock
Implement a UserDetailsService (or check during login) that throws LockedException when the threshold is exceeded.
if (attempts.isBlocked(username)) {
throw new LockedException('Account temporarily locked');
}Marking the Account Non-Locked
The UserDetails contract has isAccountNonLocked(). Return false to make Spring reject the login automatically.
@Override
public boolean isAccountNonLocked() {
return !attempts.isBlocked(username);
}Temporary vs Permanent Locks
Prefer temporary locks that auto-expire (for example 15 minutes). Permanent locks frustrate users and create a denial-of-service vector where attackers lock victims out on purpose.
Avoid User Enumeration
Return the same generic error for wrong password and locked account when possible, so attackers cannot tell which usernames exist or are locked.
Adding Exponential Backoff
Instead of a hard lock, increase the delay after each failure. The first retry waits a second, the next two, then four, slowing attackers without fully blocking users.
long delayMs = (long) Math.pow(2, count) * 1000;Persisting State
In a multi-instance deployment, store attempt counts in a shared store like Redis so a lock applies across all nodes, not just the one that saw the failures.
Quick Check
Test your understanding of brute-force protection.
Recap
You learned to protect logins from brute force:
- Count failures via Spring authentication events
- Lock the account through
isAccountNonLocked()or a thrownLockedException - Reset counters on success and prefer temporary locks
- Use backoff, avoid enumeration, and share state across instances
These measures make password guessing impractical without hurting real users.
Ucz się Java dzięki korepetycjom AI — za darmo
Pisz i uruchamiaj kod w przeglądarce, otrzymuj natychmiastową pomoc od korepetytora AI dostępnego 24/7 i kontynuuj naukę w sieci lub w aplikacji.
- Kursy
- 12
- Lekcje
- 48
Często zadawane pytania
Czy lekcja „Blokowanie kont i ochrona przed atakami brute force” jest bezpłatna?
Tak — pełny tekst „Blokowanie kont i ochrona przed atakami brute force” jest dostępny za darmo tutaj w sieci. Aby ćwiczyć ją interaktywnie (wbudowany edytor kodu i tutor AI dostępny 24/7) i odblokować resztę kursu Spring Security 6 & JWT Authentication, przejdź na CoddyKit PRO. Kurs Spring Security 6 & JWT Authentication zawiera 4 lekcji w sumie.
Co nauczysz się w „Blokowanie kont i ochrona przed atakami brute force”?
Naucz się chronić endpointy logowania przed odgadywaniem haseł, śledząc nieudane próby i tymczasowo blokując konta w Spring Security. Ćwiczysz Spring Security 6 & JWT Authentication z praktycznym kodem, który uruchamiasz bezpośrednio w przeglądarce, a tutor AI dostępny 24/7 odpowiada na Twoje pytania podczas pracy nad lekcją.
Czy potrzebuję doświadczenia, aby zacząć Spring Security 6 & JWT Authentication?
Nie wymagamy żadnego doświadczenia. Spring Security 6 & JWT Authentication w CoddyKit jest strukturyzowany dla początkujących i zaawansowanych użytkowników, więc możesz zacząć tutaj lub od początku i uczyć się w swoim tempie. To lekcja 4 z 4.
Ile czasu zajmuje lekcja „Blokowanie kont i ochrona przed atakami brute force”?
Większość lekcji CoddyKit trwa około 5–10 minut. Każda lekcja to mały, interaktywny krok, dzięki czemu robisz systematyczne postępy i zawsze wracasz dokładnie do tego samego miejsca — na webie i w aplikacji.
Czy mogę pisać i uruchamiać kod w tej lekcji Spring Security 6 & JWT Authentication?
Tak. Każda lekcja Spring Security 6 & JWT Authentication zawiera wbudowany edytor kodu, więc piszesz i uruchamiasz prawdziwy kod bezpośrednio w przeglądarce i od razu otrzymujesz sprzężenie zwrotne od AI — bez konfiguracji na komputerze.
Wszystkie lekcje w tym kursie
- Implementacja uwierzytelniania wieloskładnikowego
- Ograniczanie dostępu do API
- Niestandardowa obsługa zdarzeń uwierzytelniania
- Blokowanie kont i ochrona przed atakami brute force