- Expédié
- 5 septembre 2026 à 00:16 UTC
- Auteur
- Kamo
- Commite
- 50cfdb0
Le serveur refuse maintenant les signes sur une échelle - cinq tentatives gratuites, puis cinq secondes, puis serrures de cinq, quinze et trente minutes, puis un bloc permanent. Sans aucun de ces éléments, l'écran répondrait à tout cela avec "Nom d'utilisateur invalide ou un mot de passe" et un bouton qui ne fait rien de tranquillement, qui se lit comme le site être brisé plutôt que comme un contrôle de sécurité. Quatre États, et les différences entre eux sont la conception: Un METERIER STRIKE apparaît sous le champ mot de passe une fois que les échecs commencent accumuler, dire combien de tentatives restent avant de signer en pause et pour combien de temps. Quelqu'un qui a vraiment oublié son mot de passe devrait être ruisselé vers le lien de réinitialisation AVANT qu'ils soient verrouillés, pas après. L'attente de CINQ-SECOND reste en ligne: le bouton Sign devient un compte à rebours avec un Barre s'évacuant de l'autre côté. Retirer la forme et le remettre pour cinq les secondes seraient plus perturbatrices que l'attente. Un LOCK OF MINUTES prend le contrôle de la carte - un anneau qui vide, un compte à rebours millimètres, et un mot de passe de réinitialisation s'échappe, car par la dixième défaillance le mot de passe est oubliés plutôt que mal tapés et la récupération est une porte que ce lock-out n'est pas fermer. Il pleuve le formulaire plutôt que de le remplacer: les champs restent montés et désactivé de sorte qu'un gestionnaire de mot de passe à mi-remplissage ne perd pas sa cible. Un BLOCEUR PERMANENT n'obtient aucun compte à rebours, pas d'anneau et pas de ré-empâtage. Une animation impliquant quelque chose arriver quand rien n'est un mensonge dit lentement. Il dit que le compte n'est pas la chose qui a été bloquée, parce que c'est C'est vrai et c'est la première chose que la personne voudra savoir. Aucune politique ne vit ici. Le navigateur possède le compte à rebours et rien d'autre - une seconde Une copie de l'échelle en code client est une copie qu'un attaquant peut éditer et une copie qui dérive le moment de l'un ou l'autre côté change. Cette prise a été mordue par exactement que Avant: le contrôle de la règle d'accès du nœud a comparé les types de règles à la "liste blanche" tandis que L'éditeur a écrit "WHITELIST", ne correspondait à rien, et personne ne l'a remarqué. Donc l'API routes relayent les numéros du serveur intacts, y compris le transfert de 429 comme lui-même plutôt que de l'écraser en 400, ce qui signalerait une "mauvaise demande" pour une la réponse dont le contenu est long à attendre. Un lock-out ne secoue pas le champ du mot de passe et ne sélectionne pas son contenu. Le tremblement signifie "tu as tapé le mauvais mot de passe", et pendant une mise en attente, le mot de passe n'a jamais été J'ai regardé - blâmer le champ serait blâmer la mauvaise chose. Les quatre états ont été rendus et lisus avec du marionnettiste contre serveur en conserve Les réponses, parce qu'une construction verte ne prouve rien sur l'apparence d'une page. Réduction La motion est explicitement honorée; la motion/réacte ne l'honore pas de lui seul.