http基本身份验证-允许的最大试用时间?

我正在为一个新项目的登录部分工作,这肯定需要用户身份验证。

我认为最简单的方法是使用http基本身份验证。我在Apache服务器上很好地实现了它,ssl也被引入以提供更好的安全性。

然而,有一件事让我担心,不管用户有多少次未能提供有效的用户名/密码凭据,基本身份验证似乎都不会停止。它会一直问。。。

我认为,由于每次web服务器收到凭据时,都需要通过密码文件来查找是否存在匹配项,因此需要占用一定的服务器资源。我的问题是,这会不会是恶意用户进行DoS攻击的安全风险?

非常感谢您提前提出的建议。