我有一个这样的登录表单：

<form action="form.php" method="post">
    <input type="text" name="name" placeholder="Type your name">
    <input type="password" name="password" placeholder="Type your password" >
    <input type="submit" name="submit" value="Login">
</form>

我只想在用户尝试登录超过3次时添加google recaptcha，例如：

<form action="form.php" method="post">
    <input type="text" name="name" placeholder="Type your name">
    <input type="password" name="password" placeholder="Type your password" >
    <?php
        if(){ // Check if submitted more than 3 times.
            <div class="g-recaptcha" data-sitekey="=== Your site key ==="></div>
        }
    ?>
    <input type="submit" name="submit" value="Login">
</form>

我正在考虑使用cookie，在验证和登录失败后添加一个值为1的cookie，如果这个cookie存在，则增加1。

if( isset($_COOKIE['tries']) ){
    createcookie('tries', $_COOKIE['ties'] +1 );
}else{
    createcookie('tries', '1');
}

但是如果饼干被禁用了怎么办？！
另外，我正在考虑使用ip地址，创建一个表，其中包含尝试登录但登录失败的用户的ip地址：

__________________________________
|        |          |             |
|   ip   |   count  |   date      |
|________|__________|_____________|

其中count是登录失败次数，date是today日期，因此如果是today日期并且count>3，则显示recaptcha。
但是如果用户使用的是vpn呢？
有可靠的方法吗？
stackoverflow是怎么做到的？