有没有办法限制不正确的login尝试，并添加某种超时停止基本身份validation被暴力强制，使用IIS？
默认情况下，IIS6基本身份validation使用本地login策略，因此无论您的服务器上设置了哪种安全策略，都应该适用。
请注意，基本身份validation使用Base64编码，而不是encryption; 凭据将被发送纯文本。 如果您将敏感数据放在服务器上，则至less应使用SSL / TLS。