修复登录尝试限制是一门面向掌握基本终端输入与路径知识的学习者的 Hydra 实战项目。在准备好的设备借用和工作坊服务中，重复登录失败可能误拦其他会员，也可能让另一个登录页面绕过限制。你的任务是修复策略，并通过真实请求证明限制有效、正常访问仍然可用，受限账户也能自然恢复。
课程包含两个引导实验和一个独立挑战。第一个引导实验将某位会员的计数与其他账户分开；第二个让两个登录页面共享同一账户的限制。挑战在预约门户中结合这两项判断，并更换路径、字段名、会员和记录。各单元均独立初始化。三个单元分别预留约 55、50 和 45 分钟；这是包含阅读和普通错误处理的作者估计，并非经过初学者计时验证的结果。
你将学到什么
完成课程后，你将能够：
- 使用 Hydra 生成小规模、许可范围内的真实认证尝试，区分客户端设置与服务端限制；
- 区分密码被拒绝、请求受到限制和身份认证真正成功；
- 修改简短的 JSON 策略，让重复失败按账户计数，避免阻塞无关会员；
- 将两个真实 POST 入口关联到同一账户计数器，并分别测试两个方向；
- 在不重启服务、不清除现有尝试的情况下明确应用策略，并用当前版本的事件证明结果；
- 保留正常参考账户的访问与完整原始记录，证明冷却时间自然结束后可以恢复登录。
本课程适合谁
本课程适合希望评估和改进登录限制，同时保持真实服务可用的网络安全初学者。
前置知识：你应当能够输入终端命令、识别文件路径和切换浏览器标签页。不需要编程、安装服务或限流方面的经验。第一个引导实验会解释所需的 POST 字段、Hydra 选项、带引号的参数、JSON 结构和诊断命令。请先完成它，再学习第二个引导实验；挑战会组合两种已经教授的机制。
学习环境：每个单元都提供 Workstation 中准备好的 Linux 终端，以及可用的 Equipment Desk 网站；挑战中的网站入口为 Workshop Desk。所有账户、密码、设备借用与预约均为本地合成训练资源。文档提供英文和另外八种语言；运行中的网站、入口标签和命令输出保留英文。
常见问题
需要安装 Hydra 或搭建认证应用吗？
不需要。本地服务和工具都已准备好。你的工作是理解计数边界、编辑并应用允许修改的策略，然后测试真实结果。你不需要开发服务端，也不修改平台登录设置。
我的目标是发现密码吗？
不是。课程给出测试账户和参考账户的正确凭据，以及仅供指定测试账户使用的五个故意错误的候选密码。Hydra 用来产生限定数量的失败，以便评估服务响应。仅仅没有报告密码，不能证明保护有效。
策略文件正确就足够了吗？
不够。文件必须与运行中的策略一致，而且该策略版本必须已有真实的限制、参考账户访问和恢复证据。你还要打开两位会员的原始记录。文字报告或完成标记不能代替这些结果。
这些较小的限制值是生产环境建议吗？
不是。30 秒窗口内失败三次、随后冷却 12 秒，是受控训练契约。项目使用一个本地进程和两个 POST 入口；不实现分布式限制、生产规模的滥用防护，也不保证抵御所有认证攻击。
