การล็อกบัญชีและการป้องกันการเดารหัสผ่านแบบสุ่ม
เรียนรู้การป้องกันปลายทางเข้าสู่ระบบจากการเดารหัสผ่าน โดยติดตามความพยายามที่ล้มเหลวและล็อกบัญชีชั่วคราวใน Spring Security
การล็อกบัญชีและการป้องกันการเดารหัสผ่านแบบสุ่ม เป็นบทเรียน Spring Security 6 & JWT Authentication ฟรีบน CoddyKit นี่คือบทเรียนที่ 4 จากทั้งหมด 4 บทเรียน คุณสามารถอ่านบทเรียนทั้งหมดด้านล่างฟรี — จากนั้นลองปฏิบัติด้วยตัวคุณเองในเบราว์เซอร์พร้อมตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7 บทเรียนนี้เป็นส่วนหนึ่งของเส้นทางการเรียน Spring Security 6 & JWT Authentication และความก้าวหน้าของคุณจะซิงค์ข้ามเว็บและแอป CoddyKit คอร์ส Spring Security 6 & JWT Authentication มีบทเรียนทั้งหมด 4 บทเรียน
บางส่วนของบทเรียนนี้ยังไม่ได้รับการแปล และแสดงเป็นภาษาอังกฤษ
The Brute-Force Threat
Attackers automate thousands of login attempts to guess passwords. Without limits, even rate limiting may not stop a slow, distributed guessing campaign against a single account.
Lockout as Defense
Account lockout blocks login for an account after too many failed attempts within a window. This makes online guessing impractical.
Listening for Failures
Spring Security publishes events on authentication outcomes. Listen for AuthenticationFailureBadCredentialsEvent to count failures.
@EventListener
public void onFailure(AuthenticationFailureBadCredentialsEvent e) {
String user = (String) e.getAuthentication().getPrincipal();
attempts.recordFailure(user);
}Tracking Attempt Counts
Keep a counter per username (or per username+IP). A simple cache with a time-to-live resets the count automatically after the window passes.
void recordFailure(String user) {
int count = cache.getOrDefault(user, 0) + 1;
cache.put(user, count, Duration.ofMinutes(15));
}Resetting on Success
A successful login should clear the counter, so legitimate users who mistyped a few times are not punished later.
@EventListener
public void onSuccess(AuthenticationSuccessEvent e) {
attempts.reset(e.getAuthentication().getName());
}Enforcing the Lock
Implement a UserDetailsService (or check during login) that throws LockedException when the threshold is exceeded.
if (attempts.isBlocked(username)) {
throw new LockedException('Account temporarily locked');
}Marking the Account Non-Locked
The UserDetails contract has isAccountNonLocked(). Return false to make Spring reject the login automatically.
@Override
public boolean isAccountNonLocked() {
return !attempts.isBlocked(username);
}Temporary vs Permanent Locks
Prefer temporary locks that auto-expire (for example 15 minutes). Permanent locks frustrate users and create a denial-of-service vector where attackers lock victims out on purpose.
Avoid User Enumeration
Return the same generic error for wrong password and locked account when possible, so attackers cannot tell which usernames exist or are locked.
Adding Exponential Backoff
Instead of a hard lock, increase the delay after each failure. The first retry waits a second, the next two, then four, slowing attackers without fully blocking users.
long delayMs = (long) Math.pow(2, count) * 1000;Persisting State
In a multi-instance deployment, store attempt counts in a shared store like Redis so a lock applies across all nodes, not just the one that saw the failures.
Quick Check
Test your understanding of brute-force protection.
Recap
You learned to protect logins from brute force:
- Count failures via Spring authentication events
- Lock the account through
isAccountNonLocked()or a thrownLockedException - Reset counters on success and prefer temporary locks
- Use backoff, avoid enumeration, and share state across instances
These measures make password guessing impractical without hurting real users.
เรียนรู้ Java ด้วย AI tutor — ฟรี
เขียนและเรียกใช้โค้ดจริงในเบราว์เซอร์ของคุณ รับความช่วยเหลือทันทีจาก AI tutor 24/7 และเรียนรู้ต่อจากที่คุณหยุดบนเว็บหรือในแอป
- คอร์ส
- 12
- บทเรียน
- 48
คำถามที่พบบ่อย
บทเรียน “การล็อกบัญชีและการป้องกันการเดารหัสผ่านแบบสุ่ม” ฟรีหรือไม่
ใช่ — ข้อความเต็มของ “การล็อกบัญชีและการป้องกันการเดารหัสผ่านแบบสุ่ม” ฟรีให้อ่านที่นี่บนเว็บ เพื่อปฏิบัติแบบโต้ตอบ (ตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7) และปลดล็อคส่วนที่เหลือของคอร์ส Spring Security 6 & JWT Authentication ให้อัปเกรดเป็น CoddyKit PRO คอร์ส Spring Security 6 & JWT Authentication มีบทเรียนทั้งหมด 4 บทเรียน
คุณจะเรียนรู้อะไรในบทเรียน “การล็อกบัญชีและการป้องกันการเดารหัสผ่านแบบสุ่ม”
เรียนรู้การป้องกันปลายทางเข้าสู่ระบบจากการเดารหัสผ่าน โดยติดตามความพยายามที่ล้มเหลวและล็อกบัญชีชั่วคราวใน Spring Security คุณปฏิบัติ Spring Security 6 & JWT Authentication ด้วยโค้ดที่ใช้งานได้จริงที่คุณเรียกใช้โดยตรงในเบราว์เซอร์ และติวเตอร์ AI ตลอด 24/7 ตอบคำถามของคุณขณะที่คุณไปผ่านบทเรียน
คุณต้องมีประสบการณ์ก่อนที่จะเริ่มเรียน Spring Security 6 & JWT Authentication หรือไม่
ไม่จำเป็นต้องมีประสบการณ์มาก่อน Spring Security 6 & JWT Authentication บน CoddyKit ออกแบบมาสำหรับผู้เริ่มต้นไปจนถึงผู้เรียนขั้นสูง คุณสามารถเริ่มต้นที่นี่หรือเริ่มจากตัวแรกและเรียนด้วยความเร็วของคุณเอง นี่คือบทเรียนที่ 4 จากทั้งหมด 4 บทเรียน
บทเรียน “การล็อกบัญชีและการป้องกันการเดารหัสผ่านแบบสุ่ม” ใช้เวลานานแค่ไหน
บทเรียน CoddyKit ส่วนใหญ่ใช้เวลาประมาณ 5–10 นาที แต่ละบทเรียนจึงสั้นและเป็นแบบโต้ตอบ คุณสามารถก้าวหน้าอย่างต่อเนื่องและกลับมาเรียนต่อจากตรงที่เพิ่งหยุดบนเว็บและแอปได้เลย
ฉันเขียนและรันโค้ดในบทเรียน Spring Security 6 & JWT Authentication นี้ได้ไหม
ได้ บทเรียน Spring Security 6 & JWT Authentication ทุกบทมีตัวแก้ไขโค้ดในตัว คุณจึงเขียนและรันโค้ดจริงได้เลยในเบราว์เซอร์ และได้รับข้อเสนอแนะจาก AI ในทันที — ไม่ต้องติดตั้งในเครื่องของคุณ
บทเรียนทั้งหมดในหลักสูตรนี้
- การนำการยืนยันตัวตนหลายปัจจัยไปใช้งาน
- การจำกัดอัตราการเข้าถึง API
- การจัดการเหตุการณ์การยืนยันตัวตนแบบกำหนดเอง
- การล็อกบัญชีและการป้องกันการเดารหัสผ่านแบบสุ่ม