嘿，针对你在ColdFusion 2016 + SQL Server 2008环境下实现登录失败账户锁定的需求，我分享一套经过实际项目验证的最优方案，从数据库设计到ColdFusion逻辑，再到安全细节都给你梳理清楚：

首先得给用户表补充登录失败相关的字段，或者单独建一张失败尝试记录表——两种方案各有优劣，你可以根据需求选：

方案A：在现有用户表加字段（轻量高效） #

适合不需要保留详细失败历史的场景，直接给Users表加几个字段：

ALTER TABLE Users
ADD 
    FailedLoginAttempts INT DEFAULT 0,
    AccountLockedUntil DATETIME NULL,
    LastFailedLoginIP VARCHAR(45) NULL, -- 兼容IPv4和IPv6
    LastFailedLoginTime DATETIME NULL;

方案B：单独建登录尝试记录表（适合审计需求） #

如果需要追踪每一次登录尝试的细节（比如用于安全审计），可以建一张独立表：

CREATE TABLE LoginAttempts (
    AttemptID INT IDENTITY(1,1) PRIMARY KEY,
    UserID INT FOREIGN KEY REFERENCES Users(UserID),
    AttemptIP VARCHAR(45),
    AttemptTime DATETIME DEFAULT GETDATE(),
    IsSuccessful BIT DEFAULT 0
);

咱们按登录流程一步步来写，确保逻辑严谨：

2.1 登录前先检查账户锁定状态 #

用户输入用户名后，先查一下这个账户是不是处于锁定状态，别让用户白输密码：

var username = form.username.trim();
// 查询用户基本信息和锁定状态
var userQuery = new Query();
userQuery.setSQL("SELECT UserID, PasswordHash, FailedLoginAttempts, AccountLockedUntil FROM Users WHERE Username = :username");
userQuery.addParam(name="username", value=username, cfsqltype="CF_SQL_VARCHAR");
var userResult = userQuery.execute().getResult();

// 注意：这里绝对不能提示"用户名不存在"，统一说"用户名或密码错误"，防止攻击者枚举有效账号
if (userResult.recordCount == 0) {
    session.loginError = "用户名或密码错误，请重试。";
    location(url="/login.cfm", addToken=false);
}

var user = userResult[1];
// 检查账户是否还在锁定时间内
if (user.AccountLockedUntil IS NOT NULL AND user.AccountLockedUntil > NOW()) {
    var remainingMinutes = dateDiff("n", NOW(), user.AccountLockedUntil);
    session.loginError = "账户已临时锁定，请 #remainingMinutes# 分钟后重试。";
    location(url="/login.cfm", addToken=false);
}

2.2 验证密码并处理登录结果 #

密码验证一定要用安全的哈希算法，绝对不能存明文密码！推荐用bcrypt，ColdFusion 2016已经支持这个算法了：

var inputPassword = form.password;
// 用bcrypt验证密码（生成哈希时用 hash(password, "BCRYPT", 10)）
var isPasswordValid = (hash(inputPassword, "BCRYPT", user.PasswordHash) == user.PasswordHash);

if (isPasswordValid) {
    // 登录成功：重置失败尝试次数和锁定状态
    var resetQuery = new Query();
    resetQuery.setSQL("UPDATE Users SET FailedLoginAttempts = 0, AccountLockedUntil = NULL, LastFailedLoginIP = NULL, LastFailedLoginTime = NULL WHERE UserID = :userID");
    resetQuery.addParam(name="userID", value=user.UserID, cfsqltype="CF_SQL_INTEGER");
    resetQuery.execute();
    
    // 初始化用户会话
    session.userID = user.UserID;
    session.username = username;
    location(url="/dashboard.cfm", addToken=false);
} else {
    // 登录失败：更新失败次数，判断是否需要锁定账户
    var maxAttempts = 5; // 可配置，一般3-5次比较合理
    var lockDurationMinutes = 15; // 锁定15分钟，可调整
    var newAttemptCount = user.FailedLoginAttempts + 1;
    var lockUntil = (newAttemptCount >= maxAttempts) ? dateAdd("n", lockDurationMinutes, NOW()) : NULL;
    
    var updateQuery = new Query();
    updateQuery.setSQL("UPDATE Users SET FailedLoginAttempts = :newAttemptCount, AccountLockedUntil = :lockUntil, LastFailedLoginIP = :ip, LastFailedLoginTime = GETDATE() WHERE UserID = :userID");
    updateQuery.addParam(name="newAttemptCount", value=newAttemptCount, cfsqltype="CF_SQL_INTEGER");
    updateQuery.addParam(name="lockUntil", value=lockUntil, cfsqltype="CF_SQL_TIMESTAMP", null=!isDefined("lockUntil"));
    updateQuery.addParam(name="ip", value=cgi.REMOTE_ADDR, cfsqltype="CF_SQL_VARCHAR");
    updateQuery.addParam(name="userID", value=user.UserID, cfsqltype="CF_SQL_INTEGER");
    updateQuery.execute();
    
    // 返回错误提示，同样不要暴露剩余次数（可选，如果你想友好提示也可以，但别给攻击者可乘之机）
    var remainingAttempts = maxAttempts - newAttemptCount;
    if (remainingAttempts > 0) {
        session.loginError = "用户名或密码错误，还有 #remainingAttempts# 次尝试机会。";
    } else {
        session.loginError = "账户已临时锁定，请15分钟后重试。";
    }
    location(url="/login.cfm", addToken=false);
}

2.3 基于IP的额外防护（可选） #

如果要防止同一IP疯狂尝试不同账号，可以加个IP级别的限制：
先建一张IP尝试记录表：

CREATE TABLE IPLoginAttempts (
    IPAddress VARCHAR(45) PRIMARY KEY,
    FailedAttempts INT DEFAULT 0,
    LockedUntil DATETIME NULL
);

然后在登录前先检查IP状态：

var clientIP = cgi.REMOTE_ADDR;
var ipQuery = new Query();
ipQuery.setSQL("SELECT FailedAttempts, LockedUntil FROM IPLoginAttempts WHERE IPAddress = :ip");
ipQuery.addParam(name="ip", value=clientIP, cfsqltype="CF_SQL_VARCHAR");
var ipResult = ipQuery.execute().getResult();

// 检查IP是否被锁定
if (ipResult.recordCount > 0 && ipResult[1].LockedUntil IS NOT NULL && ipResult[1].LockedUntil > NOW()) {
    session.loginError = "当前IP尝试次数过多，请稍后重试。";
    location(url="/login.cfm", addToken=false);
}

// 登录失败时更新IP尝试记录（放到之前的失败处理逻辑里）
if (!isPasswordValid) {
    var ipUpdateQuery = new Query();
    if (ipResult.recordCount == 0) {
        ipUpdateQuery.setSQL("INSERT INTO IPLoginAttempts (IPAddress, FailedAttempts) VALUES (:ip, 1)");
    } else {
        var newIPAttempts = ipResult[1].FailedAttempts + 1;
        var ipLockUntil = (newIPAttempts >= 10) ? dateAdd("n", 30, NOW()) : NULL; // 10次失败锁定IP30分钟
        ipUpdateQuery.setSQL("UPDATE IPLoginAttempts SET FailedAttempts = :newAttempts, LockedUntil = :lockUntil WHERE IPAddress = :ip");
        ipUpdateQuery.addParam(name="newAttempts", value=newIPAttempts, cfsqltype="CF_SQL_INTEGER");
        ipUpdateQuery.addParam(name="lockUntil", value=ipLockUntil, cfsqltype="CF_SQL_TIMESTAMP", null=!isDefined("ipLockUntil"));
    }
    ipUpdateQuery.addParam(name="ip", value=clientIP, cfsqltype="CF_SQL_VARCHAR");
    ipUpdateQuery.execute();
}

• 密码存储必须用强哈希：再次强调，别用SHA-1、MD5这种弱算法，ColdFusion 2016支持bcrypt，直接用它准没错。
• 错误提示要模糊：永远不要区分“用户名不存在”和“密码错误”，统一提示，防止攻击者枚举有效账号。
• 参数配置化：把最大尝试次数、锁定时长这些参数放到Application.cfc或者单独的配置文件里，不用改代码就能调整。
• 提供解锁渠道：除了自动解锁，给管理员加个手动解锁功能，或者让用户通过邮箱/短信验证解锁，提升用户体验。
• 数据库索引优化：给Users表的Username字段加索引，IPLoginAttempts表的IPAddress字段加索引，加快查询速度。
• SessionID限制可选：如果要基于SessionID限制，逻辑和IP类似，但SessionID可能会过期或变化，优先级不如账户和IP级别的锁定。

给管理员加个简单的解锁功能，方便处理用户的锁定申诉：

// 解锁指定账户
var userIDToUnlock = url.userID;
var unlockUserQuery = new Query();
unlockUserQuery.setSQL("UPDATE Users SET FailedLoginAttempts = 0, AccountLockedUntil = NULL WHERE UserID = :userID");
unlockUserQuery.addParam(name="userID", value=userIDToUnlock, cfsqltype="CF_SQL_INTEGER");
unlockUserQuery.execute();

// 解锁指定IP
var ipToUnlock = url.ip;
var unlockIPQuery = new Query();
unlockIPQuery.setSQL("UPDATE IPLoginAttempts SET FailedAttempts = 0, LockedUntil = NULL WHERE IPAddress = :ip");
unlockIPQuery.addParam(name="ip", value=ipToUnlock, cfsqltype="CF_SQL_VARCHAR");
unlockIPQuery.execute();

内容的提问来源于stack exchange，提问作者espresso_coffee