防止恶意登录的程序设计，请参考下?

防止黑客恶意登录，拟定两个方案方案一：用验证码，不限制登录次数方案二：不用验证码，限制登录次数我以前采用的是方案一，但现在改为了方案二。
我在网上查了下，限制登录次数的话，许多程序员限制的是登录IP，我不知道黑客是不是能够伪造许多IP的来进行登录尝试；所以我不限制IP，限制登录用户名，也就是说，不论你是什么IP，只要你的用户名是同一个，在30分钟内只能进行5次登录尝试，这样一来就会出现一个问题，黑客可以在同一台机子上对不同用户名进行5次登录尝试。我心里有些不踏实，请问朋友们一下，要怎样改进才比较安全呢？谢谢！