Jak wyłączyć funkcję „Blokowanie adresów IP przez powódź”?

Drupal blokuje adres IP używany do uzyskania dostępu do strony, gdy użytkownik próbuje zalogować się wiele razy.

Jak mogę wyłączyć tę funkcję?

Co możesz zrobić, to dodać następujący kod w pliku settings.php.

$conf['user_failed_login_ip_limit'] = PHP_INT_MAX;

W ten sposób adres IP nie zostanie zablokowany.

user_login_authenticate_validate () zawiera następujący kod.

  if (!empty($form_state['values']['name']) && !empty($password)) {
    // Do not allow any login from the current user's IP if the limit has been
    // reached. Default is 50 failed attempts allowed in one hour. This is
    // independent of the per-user limit to catch attempts from one IP to log
    // in to many different user accounts.  We have a reasonably high limit
    // since there may be only one apparent IP for all users at an institution.
    if (!flood_is_allowed('failed_login_attempt_ip', variable_get('user_failed_login_ip_limit', 50), variable_get('user_failed_login_ip_window', 3600))) {
      $form_state['flood_control_triggered'] = 'ip';
      return;
    }
    $account = db_query("SELECT * FROM {users} WHERE name = :name AND status = 1", array(':name' => $form_state['values']['name']))->fetchObject();
    if ($account) {
      if (variable_get('user_failed_login_identifier_uid_only', FALSE)) {
        // Register flood events based on the uid only, so they apply for any
        // IP address. This is the most secure option.
        $identifier = $account->uid;
      }
      else {
        // The default identifier is a combination of uid and IP address. This
        // is less secure but more resistant to denial-of-service attacks that
        // could lock out all users with public user names.
        $identifier = $account->uid . '-' . ip_address();
      }
      $form_state['flood_control_user_identifier'] = $identifier;

      // Don't allow login if the limit for this user has been reached.
      // Default is to allow 5 failed attempts every 6 hours.
      if (!flood_is_allowed('failed_login_attempt_user', variable_get('user_failed_login_user_limit', 5), variable_get('user_failed_login_user_window', 21600), $identifier)) {
        $form_state['flood_control_triggered'] = 'user';
        return;
      }
    }
    // We are not limited by flood control, so try to authenticate.
    // Set $form_state['uid'] as a flag for user_login_final_validate().
    $form_state['uid'] = user_authenticate($form_state['values']['name'], $password);
  }

Granice są w rzeczywistości dwa: jeden w przypadku, gdy Drupal ma zawsze adres IP, a drugi, gdy Drupal ma również identyfikator użytkownika. To drugie dotyczy przypadku, gdy użytkownik wprowadzi nazwę użytkownika dla istniejącego konta; w takim przypadku Drupal rejestruje identyfikator użytkownika i adres IP.
Jeśli chcesz również uniknąć tego przypadku, musisz również dodać tę linię do pliku setting.php.

$conf['user_failed_login_user_limit'] = PHP_INT_MAX;
$conf['user_failed_login_user_window'] = 5;

Moduł Flood Control poradzi sobie z tym elegancko.

W Drupal 8 możesz zmienić ustawienia powodzi w pliku konfiguracyjnym user.flood.yml.

uid_only: false
ip_limit: 50
ip_window: 3600
user_limit: 5
user_window: 21600
_core:
  default_config_hash: UYfMzeP1S8jKaaaavxf7nQNe8DsNS-3bc2WSNNXBQWs

Oznacza to, że na adres IP i na użytkownika istnieje limit:

• Na 3600 sekund (1 godzinę) dozwolonych jest 50 prób na adres IP
• Na 21600 sekund (6 godzin) dozwolonych jest 5 prób na konto użytkownika (całkiem niewiele)

Możesz zmienić i zaimportować ustawienia (ustawiłem na 100 prób na 5 minut):

uid_only: false
ip_limit: 100
ip_window: 300
user_limit: 100
user_window: 300
_core:
  default_config_hash: UYfMzeP1S8jKaaaavxf7nQNe8DsNS-3bc2WSNNXBQWs