webapi账号登录，不用验证码如何防止被暴力破解？

Question

自己做的管理系统，前后端分离，前端发账号密码给后端api，登录成功返回token。
目前是设置了一个5分钟内只能重试10次密码的功能，但问题来了。

如果是以用户名为判断标准，就会有人恶意输错别人账号的密码，导致别人无法正常登录。
如果是以客户端IP为判断标准，在同一NAT下只要有一个人输错，该网所有的人都无法正常登录。
以用户名+IP为判断标准，同样也存在同一NAT下恶意输错别人账号密码，让别人无法登录的可能。

服务器不支持IPv6。

Answer 1

验证码大法好啊