账号锁定能限制口令尝试，也可能被用来阻断真实用户。策略需要同时保护认证和可恢复性。
组合限制维度
账号、来源与设备行为结合，避免只靠单个IP或永久锁定账号。
使用渐进等待
异常尝试逐步增加等待，恢复身份有受控流程，提示不泄露账号是否存在。
评估误伤
共享网络和忘记密码场景测试，管理员告警有核实途径。不能为了方便完全取消尝试限制。
锁定设计考虑共享IP与恢复
账号维度、来源维度与递增等待配合，异常时保护账户但不永久阻断合法用户。
测试忘记密码、机器人重试和多人共网，解除锁定有可靠核验，避免攻击者故意锁住所有管理员。
例如攻击者连续尝试让管理员被锁，应评估递增等待与可靠恢复，防止策略成为拒绝服务工具。
相关阅读：网站后台登录：口令、MFA、验证码与频率控制。