1. 问题：你们项目是如何防止密码爆破攻击的？请简述实现思路。
我们项目采用了“暴力破解防护”机制，主要通过中间件BruteForceProtection.js实现。该中间件会在用户登录接口前拦截请求，根据用户名或IP统计短时间内的登录失败次数。如果连续失败次数超过阈值（如5次），则会临时锁定该账号或IP一段时间，防止继续尝试。这样可以有效阻止黑客通过暴力枚举密码进行攻击。
2. 问题：你们的防爆破机制是如何与登录接口集成的？具体流程是什么？
我们的防爆破机制通过Express中间件集成到登录路由。以web-server/routes/admin/UserRouter.js为例，登录路由会先经过BruteForceProtection.js中间件，再进入登录逻辑。如果检测到爆破风险，中间件会直接返回错误提示，阻止后续登录逻辑执行。只有在未触发爆破保护时，才会进入UserController.js进行密码校验和登录处理。
3. 问题：你们是如何记录和统计登录失败次数的？数据存储在哪里？
我们在BruteForceProtection.js中通过内存对象或Redis等缓存系统，记录每个用户或IP的登录失败次数和时间戳。每次登录失败时，都会更新对应的计数器。如果计数器超过阈值，则触发锁定。对于分布式部署，可以将计数器存储在Redis等共享缓存中，保证多实例间数据一致性。
4. 问题：如果用户被误判为爆破攻击，如何处理？用户体验如何保障？
我们设置了合理的阈值和锁定时间（如5次失败锁定10分钟），避免正常用户因偶尔输错密码被长期锁定。同时，锁定期间会返回明确的提示信息，告知用户稍后再试。如果用户确实被误判，可以通过后台管理手动解锁，或者提供申诉渠道。这样既保证了安全性，也兼顾了用户体验。
5. 问题：除了防爆破，你们在登录安全上还有哪些措施？
除了防爆破机制，我们还做了以下安全措施：
- 密码加密存储，使用bcrypt等算法加密用户密码，防止泄露明文密码（见
UserModel.js）。 - 登录接口采用验证码（如
web-company/src/api/captcha.ts），防止自动化脚本攻击。 - 登录成功后签发JWT令牌（见
utils/JWT.js），并设置合理的过期时间，防止会话劫持。 - 对敏感操作接口统一加上权限校验和频率限制，提升整体安全性。
