我应该限制登录rails的尝试吗？

Question

我正在考虑为Ruby on Rails构建一个登录系统,就像这个一样

http://visionmasterdesigns.com/tutorial-create-a-login-system-in-ruby-on-rails/

在安全性方面,如果用户的用户名错误,我是否应该限制用户登录的尝试？

此外,登录的基本步骤似乎是:

• 根据数据库中的用户名和密码进行身份验证
• 如果是真实的用户名和密码,请创建会话变量
• 在过滤之前,以便页面需要登录受到保护.

还有什么我应该考虑的吗？

Answer 1

是限制每个ip(不是每个会话)的登录尝试次数会增加安全性.

您知道Rails已经存在多个身份验证系统吗？没有必要重新发明轮子.
这是一个非详尽的清单.

• 净空
• AuthLogic
• 休息认证

如果你不想使用任何,你可以举例说明他们正在做什么.

编辑2013
上面提供的库不再是最新的,我不能建议在新的应用程序中使用它们.看看设计.