……别听他们用Session，Sesion到头来还是用Cookie存的，什么，你说你用URL参数，那更不靠谱了……

user_login_log存类似这样的内容

userid username ip count expired

然后用户输入用户名之后，一个ajax请求过去，看看需要不要验证码（count > 2） 登录的时候，先检查一下是不是需要验证码。 登录成功就清除他的count记录。 实际做的时候用redis这类的数据库性能会比较好。毕竟登录看起来是在短时间内连续发生的 不过实际上无所谓地说。