账号锁定阻止什么？
在一定失败条件下暂时拒绝继续认证，限制在线猜测的机会。它不处理离线破解，也不撤销所有已经存在的会话；锁定的对象、范围和解除方式都应明确。[1][2]
001 / 身份与访问 / Account Lockout
挡住猜密码的人，也把本人锁在外面？
账户锁定 · Account Lockout
错误密码接连到来，系统终于关门。小珊拿着正确密码赶到，却也进不去。你要决定失败怎么算、窗口何时清除，以及怎样在限制猜测和保持可用之间找边界。
开始探索 ↓8–11 分钟
动手实验 · 场景判断 · 实用检查
动手实验 · 场景判断 · 实用检查
失败标记接连亮起，闸门同时挡住电脑前的攻击者和持证来访者。画面提示锁定的可用性代价；不表示所有系统使用同一阈值，也不能从持证姿态判断真实身份。
本课任务 / 账户锁定
沿失败计数、观察窗口和解锁时刻，验证账号保护的有效性与副作用。
- 区分失败阈值、观察窗口与锁定时长
- 比较按账号与仅按来源计数的差异
- 验证正确密码、到期与恢复的边界
亲手探索 / 不同条件，不同结果
时间窗合上之前，谁的尝试被算在一起？
对同一教学账号从 A、B 两个来源提交失败或正确密码。修改阈值与观察窗口会重开本轮；切换来源保留计数，时间由按钮推进。锁定固定四分钟，不使用真实账号。
边界与路径实验台 · 离线教学模型
把失败次数放进时间窗，再让本人来登录。
一个虚构账号、两个来源。先连续失败三次，再切换来源并使用正确密码；推进模拟时钟，观察截止边界。配置改变会开始新一轮，切换来源只清除旧结论。
- 模拟时钟
- 第 0 分钟
- 锁定时长
- 4 分钟
- 账号 / A / B 锁定截止
- 0 / 0 / 0
尚未检查当前设置。修改条件会清除旧结论，请运行本轮实验。
查看本轮请求轨迹（最近 12 条）
尚无请求。
本页的 3 次、5 分钟、4 分钟是教学参数，不是推荐生产值。锁定期间不续期；恢复入口、分布式一致性与其他限流未模拟。
随手查 / 把理解带回实际工作
理解机制之后，检查这些细节。
实验是简化模型。真实环境需要明确业务规则、验证失败路径，并持续维护配置与证据。
01 / 实用细节
把计数语义写成可测试规则
本模型采用滚动窗口 (当前时间－窗口长度, 当前时间]，恰好落在左边界的失败不计入；同一分钟可有多次尝试。成功清零，锁定期间不追加失败、不延长截止时间。这些选择必须在真实系统里明确，不能只写“失败几次后锁定”。[1]
02 / 实用细节
按账号汇总后，也要看拒绝服务风险
攻击者可能故意把已知账号推到阈值，让本人无法登录。降低阈值不总是更安全；应评估分级延迟、风险信号、告警和恢复能力，监测异常锁定，而不是用永久封锁代替完整防护。[1][2]
03 / 实用细节
不同认证路径不要形成计数旁路
网页、移动端和其他接受同类凭据的接口，应核对各自的限制与失败处理。仅给一个前端按钮增加等待并不限制服务器；分布式部署还要验证计数与并发边界。本例只有一个内存中的认证入口。[3][2]
04 / 实用细节
错误提示不应泄露账号状态
对不存在账号、密码错误或账号锁定等情形，外部响应应避免可利用的差异，包括文本、状态码和显著时序。内部诊断可以保留更细原因，但应限制访问；本页为了教学展示内部状态，不能直接照抄成真实登录提示。[1]
05 / 实用细节
恢复流程需要自己的安全边界
解锁不是允许任何人重置密码。通过已建立的可信恢复路径核验请求，使用适当的限流和一次性、限时凭据；不能仅凭重置请求锁住账号。真实恢复成功后如何处理旧会话也需另行定义。[4]
06 / 实用细节
在截止时刻做正反两类验证
本例第 0 分钟触发四分钟锁定，第 3 分钟正确密码仍失败，第 4 分钟可重新认证。再试分散来源与超出观察窗的失败。除阻止猜测，还应确认合法用户有可用、可观察、不过度泄密的恢复路径。[2][4]
从模拟，到验证
找一个获准的环境，实际检查一次。
勾选用于本页自查，不会自动标记整课已学会。练习与清单刷新后重置。
本页已检查 0 / 5 项
大量错误登录导致员工无法进入账户，怎样改进？
能解释原因，再标记学会。
小测结果同步错题本；“已学会”沿用原有本地学习记录。
资料与依据
- OWASP · Authentication Cheat Sheet ↗
账号计数、阈值／窗口／时长、锁定拒绝服务与通用响应
- NIST SP 800-63B-4 · Authenticators ↗
在线猜测限制、认证器与限流要求；不是本页参数依据
- OWASP · Credential Stuffing Prevention ↗
多层限制、代理／来源信号与多认证入口
- OWASP · Forgot Password ↗
恢复限流、令牌期限和避免账号锁定滥用
本页场景、人物与数据均为教学示例。互动选择不会上传；收藏、已学会与错题沿用当前浏览器本地存储。来源正文核对日期：2026-10-08。