- Spegnimento
- 5 settembre 2026 alle ore 00:16 UTC
- Autore
- Kamo
- Impegno
- 50cfdb0
Il server ora rifiuta i segni su una scala — cinque tentativi liberi, poi cinque secondi, poi serrature di cinque, quindici e trenta minuti, poi un blocco permanente. Senza alcuno di questo lo schermo risponderebbe a tutto questo con " username non valido o password" e un pulsante che tranquillamente non fa nulla, che legge come il sito essere rotto piuttosto che come un controllo di sicurezza funziona. Quattro stati, e le differenze tra loro sono il disegno: Un METER STRIKE appare sotto il campo password una volta che i guasti iniziano accumulando, dicendo quanti tentativi rimangono prima di firmare in pause e per Quanto tempo. Qualcuno che ha veramente dimenticato la loro password dovrebbe essere nudge verso il link di reset PRIMA che sono bloccati, non dopo. L'attesa FIVE-SECOND rimane in linea: il pulsante Sign in diventa un conto alla rovescia con un bar che lo scola. Portare via il modulo e rimetterlo a posto per cinque i secondi sarebbero più distruttivi dell'attesa. Un blocco di MINUTI prende sopra la carta — un anello che svuota, un mm:ss conto alla rovescia, e una fuga di password di reset, perché dal decimo fallimento la password è dimenticato piuttosto che mistypeed e il recupero è una porta questo blocco non vicino. Esso supera la forma piuttosto che sostituirla: i campi rimangono montati e disabilitato in modo che un gestore di password mid-fill non perde il suo obiettivo. Un BLOCK PERMANENTE non ottiene alcun conto alla rovescia, nessun anello e nessuna garanzia di riprovazione. An animazione che implica qualcosa sta arrivando quando niente sarebbe una bugia lentamente. Dice che il conto non è la cosa che è stato bloccato, perché questo è vero ed è la prima cosa che la persona vorrà sapere. Nessuna politica vive qui. Il browser possiede il conto alla rovescia e nient'altro — un secondo copia della scala in codice client è una copia che un attaccante può modificare e una copia che deriva il momento in cui entrambi i lati cambia. Questo repo è stato morso proprio da questo prima: il Node access-rule check rispetto tipi di regola contro "whitelist" mentre l'editore ha scritto "WHITELIST", non ha abbinato nulla, e nessuno l'ha notato. Quindi l'API percorsi relay i numeri del server intatti, incluso invio 429 come se stesso piuttosto che collassarlo in 400, che riferirebbe "una cattiva richiesta" risposta il cui contenuto è quanto tempo aspettare. Un blocco non scuote il campo password o seleziona il suo contenuto. Il frullato significa "ha digitato la password sbagliata", e durante una attesa la password non è mai stata ha guardato — incolpare il campo sarebbe incolpare la cosa sbagliata. Tutti e quattro gli stati resi e letti indietro con burattinaio contro server in scatola risposte, perché una costruzione verde non dimostra nulla su come una pagina sembra. Ridotto il movimento è onorato esplicitamente; il moto/reazione non lo onora da solo.