javaweb项目实现连续3次输错密码后禁止登录

àì夳堔傛蜴生んèń 2021-09-26 16:24 379阅读 0赞

#### 摘要：主要通过sql（oracle）实现连续X次输错密码后，禁止登录。Y小时或隔天后可以登录。 ####

在javaweb项目的登录模块中经常会有连续X次输错密码后禁止登录的需求。这个功能可以通过多种方法来实现。本文只介绍以sql为主的方法，以供参考。

这是从实际项目中扒出来的代码，对一些变量名进行了处理，但是文中将包含全部核心代码。使用框架为struts2，ibatis。

#### 需求：连续输入错误密码5次后，账号进入锁定状态，不可登录。锁定状态将于1小时后，或者下一个自然日（0点）解除。 ####

#### 具体方法描述。 ####

1.建一张表来记录用户id，错误登录次数，上次登录时间。（也可以在user表上添加这三个字段，这样会省去一个初始化的麻烦）  
2.登录失败后，进行校验：若已经错误登录5次，返回特定编码以告知前台显示错误信息。若次数不足5次，错误登录次数+1，并返回正常错误信息。若距离上一次错误登录时间已经过了1小时或者到了第二天，错误次数置为1。  
3.若密码正确，并可以正常登录，将错误次数置为0。若处于锁定中，返回指定错误信息。

#### 代码 ####

建表语句

create table log_pwd_err(login_id number primary key, err_num number default 0, last_date date default sysdate);

java代码

//参数的设置
        private static int maxTime = 5; //连续5次后
        private static double hour = 1; //一小时内不可登录。
    
        /** * 登录错误5次，一小时后不可登录 * @param loginId 登录id * @param password 密码 * @param isJiaMi 对密码进行加密处理 * @return * @throws DataAccessException */
        public Map<String, Object> validateByLoginIdLoginErr(String loginId, String password,
                boolean isJiaMi) throws DataAccessException {
            Map<String, Object> resultMap = new HashMap(2);
    
            User user = getByLoginId(loginId);    //一个通过登录id获取用户实体类的方法，文中无源码
            String encodePass = "";
            if (isJiaMi && null != isJiaMi) {
                encodePass = encrypt.encode(password);  //对密码进行加密处理，文中无源码
            }
    
            if(null != user){    //如果登录id确实存在
                if(user.getPassword().equals(encodePass)){ //并且密码输入正确
                    if(this.checkWhenPwdOk(user)){    //校验该用户是否可以登录
                        this.setErrZero(user);    //如果可以确实的登录，则对表中错误登录次数置零
                        resultMap.put("user", user);
                        return resultMap;
                    }else {
                        resultMap.put("extMsg", "errMax");    //前台错误信息展现由上层代码实现。
                        return resultMap;
                    }   
                }else {
                    if(this.checkErrNum(user)){  //密码错误时的一系列操作
                        //返回true时，错误次数超过了5次，需要返回特定的错误信息
                        resultMap.put("extMsg", "errMax");
                        return resultMap;
                    }else {
                        //错误次数没有超过5次，返回一个空map，交由上层处理
                        return resultMap;
                    }
                }
            }
            return resultMap;
        }
    
        private void setErrZero(User user){
            //将指定id的错误次数置零
            //client是操作数据库的方法，可以认为是SqlMapClientBuilder.buildSqlMapClient(Resources.getResourceAsReader("config/SqlMap.xml")); 这种东西。
            this.client.update("login.err.updateForOk", user);
        }
    
        /** * 即使密码正确，也不能登录 * @param user * @return false 处于锁定中，无法登陆 true 可以正常登录 */
        private boolean checkWhenPwdOk(User user){
            Map<String, String> daoMap = new HashMap();
            daoMap.put("loginId", user.getLoginId() + "");
            daoMap.put("maxTime", maxTime + "");
            daoMap.put("hour", hour + "");
            String currentNumStr = (String) this.client.queryForObject("login.err.checkWhenPwdOk", daoMap);
            if(currentNumStr == null || currentNumStr.length() == 0){
                return true;    //err表中无数据，可以登录成功
            }
            if(Integer.valueOf(currentNumStr) >= maxTime){    //超过5次
                return false;
            }else {
                return true;
            }
        }
    
        //密码错误时的方法
        private boolean checkErrNum(User user){
            Map<String, String> daoMap = new HashMap();
            daoMap.put("loginId", user.getLoginId() + "");
            daoMap.put("maxTime", maxTime + "");
            daoMap.put("hour", hour + "");
            String currentNumStr = (String) this.client.queryForObject("login.err.getCurrentNum", daoMap);
    
            if(currentNumStr == null || currentNumStr.length() == 0){
                //错误信息表与用户表并不是同步的，如果是新建的用户，err表中将没有对应数据，需要插入一条新数据
                this.client.insert("login.err.insertUser", daoMap);
                currentNumStr = "0";
            }
    
            int currentNum = Integer.valueOf(currentNumStr);
            if(currentNum >= maxTime){
                //若次数超过了，将不会修改登陆时间。那样做会导致一小时的校验错误
                return true;
            }
            //执行+1或=1的操作
            this.client.update("login.err.updateForErr", daoMap);
    
            return false;
        }

sql文件

<?xml version="1.0" encoding="UTF-8"?>
    <!DOCTYPE sqlMap PUBLIC "-//iBATIS.com//DTD SQL Map 2.0//EN" "http://www.ibatis.com/dtd/sql-map-2.dtd">
    
    <sqlMap namespace="login.err">
    
        <select id="getCurrentNum" resultClass="java.lang.String">
    select decode(trunc(t1.last_date), trunc(sysdate), 
                  case when (sysdate - t1.last_date) * 24 > to_number(#hour#) and t1.err_num >= to_number(#maxTime#)
                         then 1 
                  else t1.err_num end, 
                  1) "flag" 
      from log_pwd_err t1
     where t1.login_id = to_number(#loginId#)
    
        </select>
    
        <insert id="insertUser">
            insert into log_pwd_err(login_id, err_num, last_date) values (#userId#, 1, sysdate)
        </insert>
    
        <update id="updateForOk">
            update log_pwd_err t1
               set t1.err_num = 0,
                   t1.last_date = sysdate
             where t1.login_id = to_number(#loginId#)
               and t1.err_num != 0
        </update>
    
        <update id="updateForErr">
            update log_pwd_err t1
               set t1.err_num = decode(trunc(t1.last_date), trunc(sysdate), 
                                  case when (sysdate - t1.last_date) * 24 > to_number(#hour#) 
                                                and t1.err_num >= to_number(#maxTime#)
                                         then 1
                                  else t1.err_num + 1 end, 
                                  1),
                   t1.last_date = sysdate
             where t1.login_id = to_number(#loginId#)
        </update>
    
        <select id="checkWhenPwdOk" resultClass="java.lang.String">
            select case
                     when trunc(t1.last_date) != trunc(sysdate) then
                      0
                     when to_number(#hour#) / 24 > sysdate - t1.last_date and t1.err_num >= to_number(#maxTime#) then
                      t1.err_num
                     else
                      0
                   end "flag"
              from log_pwd_err t1
             where t1.login_id = to_number(#loginId#)
        </select>
    
    </sqlMap>

#### 总结：使用sql去完成这种需求最大的好处是逻辑清晰，集中，安全，并且不会出现bug。整个功能连写带测试加部署只花了2小时，比写这篇文章都短……缺点就是会对数据库造成一点点额外的压力。 ####