即使密码选择正确，也不告诉蛮力是一种好方法吗？

不。这对老练的黑客没有任何影响，对于网站所有者来说，如果他可以被脚本小子或专业人士黑客攻击10次，也是一样的。

brute forcer如何知道目标用户名的密码被破解？

如果我在做这样的事情，我只会尝试访问examle。com/wp admin并检查我是否被重定向回登录页面。

无论如何，你认为人们只从浏览器登录是错误的。从3.5开始，默认情况下启用XML-RPC，您不需要任何JS或Cookie来尝试使用它登录。XML-RPC工作方式的任何更改都很可能会破坏所有使用该协议的发布应用程序。

你从错误的角度看待这个问题。您所做的任何有效阻止机器人尝试登录您的帐户的操作也将阻止普通用户。人类可以做的任何事情，一个编写良好的程序也可以做（而且做得更快）。成功登录时必须发送有效的cookie，对于程序来说，测试返回的任何cookie是否有效都是微不足道的，即使您在失败时发送虚拟cookie或其他类似方法也是如此。

这就是说，防止暴力登录尝试的一个非常有效的解决方案是使用一个插件，该插件可以防止x 给定时间段内的登录数。Limit Login Attempts 是一个很好的插件，很多人都会使用它，并且会为你这样做（你的问题表明你已经考虑过这个选项）。

限制登录尝试可以防止暴力的原因是，如果用户是真正的用户，没有用户会连续尝试登录100次，但机器人会尝试成千上万次。如果您将尝试次数限制在每小时5次（或任何其他合理的数字），那么任何体面的密码在一生中都不可能破解。

我知道这并不能完全回答你的问题，但希望它能为你提供一个更好的方向。

祝你一切顺利！