每次登录、注册、抢票，都会遇到验证码：扭曲的文字、拼图、滑块、点选图片。验证码的职责是区分“人”和“机器”，背后是随机性和图形识别的博弈。这篇文章讲验证码的原理和常见类型。

验证码在防什么

验证码（CAPTCHA）防止自动化程序批量操作：批量注册垃圾账号、刷票、暴力破解密码、爬虫抓数据。如果网站没有验证码，机器可以无限注册和请求，服务被拖垮，真用户被淹没。验证码是网站和机器博弈的第一道闸门。

常见验证码类型

文字验证码：扭曲变形的字符，靠图形识别区分人机；图片选择：点选指定物体（红绿灯、斑马线），利用人和机器在视觉理解上的差距；滑块/拼图：通过拖拽行为特征判断；行为式验证：不打扰用户，通过鼠标轨迹、停留时间等隐式判断。类型在进化，因为机器的破解能力也在进化。

为什么验证码越来越难

早期文字验证码简单，但 OCR 技术很快能识别；于是验证码越来越扭曲，结果人也认不出。后来转向图片选择和行为验证，靠“机器不擅长而人擅长”的任务来区分。现在的趋势是无感验证：让正常用户几乎无感知，只拦截可疑流量。

验证码背后的随机性

验证码生成依赖随机性：随机选字符、随机扭曲、随机位置，让机器无法预测。滑块验证码的轨迹检测也依赖随机和模式识别。理解验证码，就理解了一个安全系统的核心：可预测 = 可攻击，不可预测 = 安全。

使用验证码的平衡

验证码太强，正常用户被烦走；太弱，机器轻松绕过。好的验证码设计在“安全性”和“用户体验”之间找平衡。作为用户，遇到验证码多点耐心——它正在保护你的账号和网站的安全。作为开发者，选择验证码方案时考虑误伤率，别把真用户挡在门外。