- Verschifft
- 5. September 2026 um 00:16 UTC
- Autor
- Kamo
- Ausschuss
- 50cfdb0
Der Server verweigert nun Sign-Ins auf einer Leiter - fünf freie Versuche, dann fünf Sekunden, dann Sperren von fünf, fünfzehn und dreißig Minuten, dann ein permanenter Block. Ohne all das würde der Bildschirm alles mit "Invalid username beantworten oder Passwort" und ein Knopf, der leise nichts tut, die sich als die Website liest gebrochen zu werden, anstatt als Sicherheitskontrolle zu arbeiten. Vier Staaten, und die Unterschiede zwischen ihnen sind die Gestaltung: Ein STRIKE METER erscheint unter dem Passwortfeld, sobald Ausfälle beginnen Anhäufung, sagen, wie viele Versuche bleiben, bevor die Unterzeichnung in Pausen und für wie lange. Jemand, der sein Passwort wirklich vergessen hat, sollte geschubst werden in Richtung der Reset-Link VOR sie ausgesperrt sind, nicht nach. Die FIVE-SECOND-Wartezeit bleibt inline: Der Sign-in-Button wird zum Countdown mit einem bar entwässert über sie. Die Form wegnehmen und für fünf zurücklegen Sekunden wären störender als das Warten. Ein LOCK OF MINUTES übernimmt die Karte - ein Ring, der leert, ein mm:ss Countdown, und ein Reset-Passwort-Flucht, weil durch den zehnten Ausfall das Passwort ist vergessen, anstatt falsch geschrieben und Erholung ist eine Tür, die diese Aussperrung nicht schließen. Es OVERLAYS die Form, anstatt sie zu ersetzen: die Felder bleiben montiert und deaktiviert, so dass ein Passwort-Manager Mitte-Füllung nicht verliert sein Ziel. Ein PERMANENT BLOCK bekommt keinen Countdown, keinen Ring und keine Retry-Bestätigung. Animation impliziert etwas kommt, wenn nichts wäre eine Lüge erzählt langsam. Es sagt, das Konto ist nicht die Sache, die blockiert wurde, weil das ist true und ist das erste, was die Person wissen wollen. Hier lebt keine Politik. Der Browser besitzt den Countdown und nichts anderes - eine zweite Kopie der Leiter im Client-Code ist eine Kopie, die ein Angreifer bearbeiten kann und eine Kopie, die driftet in dem Moment, in dem sich jede Seite ändert. Dieses Repo wurde genau das gebissen vor: die Knoten-Access-Regel-Prüfung verglich Regeltypen mit "Whitelist" der Verleger schrieb "WHITELIST", passte nichts, und niemand bemerkte es. Also die API Routen übertragen die Nummern des Servers unberührt, einschließlich der Weiterleitung 429 als sich selbst anstatt kollabiert es in 400, die "schlechte Anfrage" für eine berichten würde Antwort, deren gesamter Inhalt ist, wie lange zu warten. Eine Aussperrung erschüttert das Passwortfeld nicht oder wählt dessen Inhalt. Der Shake bedeutet "Sie haben das falsche Passwort getippt", und während eines Wartens war das Passwort nie schaute sich an - die Schuld des Feldes würde das Falsche zu beschuldigen bedeuten. Alle vier Staaten gerendert und zurücklesen mit Puppenspieler gegen Konserven-Server antwortet, weil ein grüner Build nichts darüber beweist, wie eine Seite aussieht. Reduziert Motion wird ausdrücklich honoriert; Motion/Reagieren ehrt ihn nicht allein.