54 CHEN

大型网站登录项目的重要性

互联网最不缺少的就是复制,为什么佬一个行业的网站都是一家独大?有人说是因为他们上网的人少,先入为主的效果比较大,后面进入市场的网站基本都存活不久。

而在国内,大家都在把皮毛抄来抄去,真正的核心却是抄不去的,比如说登录。

登录,垃圾广告的第一关 网站大了,自然被一堆的spam盯上,少量的spam不会怎么样,但是到处是牛皮蘚一样的广告,给网站的正常用户的感觉可想而知。
大多数网站针对这些spam有着以下的一堆策略:
1.anti Spam项目针对各种各样的关键词一概禁止发 坏处:关键词越来越多性能越来越差。
2.举报项目让自觉的用户去举报 坏处:往往还没有举报用户就走掉了。
3.对发送次数过多的用户判断发送次数,次数过多的出验证码 坏处:正常用户也可能会被影响。

看国内网站的登录 1)豆瓣:登录强度指数1
无https,无验证码,无加密,用代码模拟登录http://www.douban.com/login轻而易举,不知为何在豆瓣似乎看不到诸如淘宝商城之类的广告,看来另有人肉在?求验证。
2)人人网:登录强度指数1
薄弱原因,未统一入口,无加密,http://3g.renren.com/login.do?fx=0&autoLogin=true无https,无验证码,用代码模拟登录非常简单,淘宝小广告、陌生人加好友现象普遍存在(也可能是我经常用的缘故)。
3)百度:登录强度指数2
采用两次取票,https传送,比前两位稍强,但对于执意要模拟登录来说,丝毫没有增加难度,只是多发几次请求而已。
4)腾讯:登录强度指数4
这个最强,统一前后端,统一入口,虽未启用https,但传输有前端md5_3加密,传输密文,另有三次取cookies拼串过程,外搭地域、特定用户名出图形验证码(图形一出,卡死一片,经常登录QQ时出来的你的QQ号有异常,请输入验证码即是),要破此登录,限制相当多。美中不足之处,只要不达到出图形验证的阀门,要模拟也是易事,所以此阀门需要相当精妙。
(以上研究结果按照2010年9月16日线上研究得出)

搞一个什么样的登录是最有用的? 这当然是充分想像,人在使用鼠标的时候会怎么用,程序肯定是还达不到人工智能的程度的。
用类似QQ的图形验证码,识别图形与写点模拟登录的代码档次就不一样了。
要做好登录,只需要做好跳出图形验证码的条件即可。
比如腾讯:外国IP跳图形(老毛子野广告多,肉机也多)、登录过多跳图形(一般人没事也不会登录退出登录退出地作)、IP转换过大跳图形(你不可能一天当中一下子从去到佬)
还可以增加:
没有reffer跳图形(当然了,基本上只是防掉一小部分不法分子)
cookies定时更换重新计算
曾经疑似机器人随机跳图形,一次未正确定义为机器人,三次正确后取消定义
!@#¥%¥#%…… BANGCB3619347602D5A119E40D35XIANGUO

原创文章如转载,请注明:转载自五四陈科学院[http://www.54chen.com]

Posted by 54chen 架构研究