关于 验证码系统 详解

验证码系统的目的是：阻止自动化脚本访问网页资源，验证访问者是否为真实人类用户。

它通过各种测试（图像、行为、计算等）判断请求是否来自机器人。

一、验证码系统的整体架构

验证码系统通常由 客户端 + 服务端 + 风控模型 + 数据采集 四大部分组成：

[用户浏览器/App]↓ 加载验证码组件（图形/UI/JS）
[客户端模块]↓ 采集行为数据（鼠标、滑动、指纹）
[行为加密&验证模块]↓ 加密行为参数 + 加 challenge 提交
[服务端风控系统]↓ 分析行为数据 + 评分/分类/判断
[验证结果]→ 通过则返回 token → 前端提交业务系统验证

二、验证码的分类体系

三、验证码的验证流程

以典型图形验证码为例，完整交互过程如下：

• 页面加载阶段

  • 前端引入第三方验证码 SDK

  • 向验证码服务获取初始化参数（如 sitekey, challenge, session_id）

• 用户行为阶段

  • 显示滑块/图片题/UI等

  • 记录用户操作行为（鼠标轨迹、点击、拖拽等）

  • 使用 JavaScript 加密行为数据（AES/RC4/混淆）

• 客户端提交阶段

  • 将加密参数发送到验证码验证接口（带上 challenge, payload, action, fingerprint 等）

• 服务端分析阶段

  • 解密行为数据

  • 分析用户设备、行为、指纹

  • 利用机器学习模型判断：人类 / Bot / 可疑

• 返回结果阶段

  • 验证通过 → 返回 token

  • 否则重新触发图形验证、或提示验证失败

• 业务系统验证阶段

  • 客户端将 token 提交给后端 API

  • 后端使用 secret 进行 token 验签

  • 验签通过 → 放行业务请求

四、行为采集机制详解

验证码不只是看用户点没点对，它更关注用户的“行为像不像人”：

常见采集行为

五、验证码核心参数解析

六、验证码安全机制概述

验证码系统一般包含如下几层防护：

七、典型验证码厂商及特点对比

八、验证码对抗与破解思路

1）数据采集与还原

• 使用抓包工具（mitmproxy/Fiddler）

• 获取前端请求参数结构

• 找到 payload/w/blob 等行为参数

2）JS 解密分析

• 使用 Babel 对混淆 JS 解码

• 找到行为数据采集与加密的函数

• Hook 核心逻辑：如滑动轨迹加密器、token 构造器

3）构造自动化模拟环境

• 使用 Puppeteer/Selenium 模拟人类操作

• 配合 stealth 插件隐藏自动化痕迹

• 模拟鼠标轨迹/触控轨迹/拖动行为等

4）打码/识图模块

• 针对图形题，使用：

  • 2Captcha、CapMonster

  • OCR 自定义识别

  • 模型训练（YOLO/ResNet）

九、如何设计一个验证码系统

如果要自己设计一个验证码系统，应该包含：

十、总结

验证码系统 = 前端 UI + 行为加密 + 后端风控判断 + 业务接口联动，是整个风控体系的一部分。