CAPTCHA

本文约需 2 分钟阅读

CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) 是用于判别访问者是人类还是机器人的验证测试。通过在登录表单和会员注册页面中部署，它可以抑制撞库攻击和暴力破解攻击等自动化攻击。截至 2025 年，无需用户操作的"隐形 CAPTCHA"正在成为主流。

垃圾注册激增说明了什么

如果会员注册表单在短时间内出现数量异常的新账户，首先应怀疑的不是用户突然增多，而是机器人在自动填写表单、批量制造垃圾账户。这样产生的账户会成为垃圾信息发布和滥用的立足点，因此需要在注册环节确认「操作表单的是否是人类」。 CAPTCHA 正是针对这一场景的工具：只要拦住自动化的注册，就能让表单背后的功能继续为人类用户服务。

CAPTCHA 的演变

早期的 CAPTCHA 采用让用户读取扭曲文字图像的方式，但随着 OCR 技术的进步逐渐被攻破。 reCAPTCHA v2 将"我不是机器人"复选框与图像选择任务相结合，而 reCAPTCHA v3 则对用户的行为模式 (鼠标移动、滚动速度、页面停留时间) 进行评分并在后台进行判定。 hCaptcha 作为注重隐私的替代服务，采用率正在不断提高。

部署时的考量

CAPTCHA 是安全性与用户体验之间的权衡。过于困难的 CAPTCHA 会降低转化率，并对视障用户构成可访问性障碍。通过提供语音 CAPTCHA 或采用基于分数的方式，可以在将用户负担降至最低的同时维持防御效果。将速率限制与 CAPTCHA 相结合，还可以设计成对普通用户不显示 CAPTCHA，仅对短时间内发送大量请求的机器人要求 CAPTCHA。在防御撞库攻击方面，CAPTCHA 是重要的防御手段之一。

CAPTCHA 的局限性

由于 CAPTCHA 破解服务 (由人工手动代为解答 CAPTCHA 的服务) 以及图像识别技术的进步，仅靠 CAPTCHA 进行防御存在局限性。请将在 passtsuku.com 上生成的强密码与 CAPTCHA 结合，构建多层防御。