图形验证码强度检查
图形验证码是自动化防护的常见组件，作用是提高脚本批量操作的成本。检查围绕四点展开：识别难度（字符集、干扰与变形程度是否足够且不误伤真实用户）、是否一次性失效、是否绑定会话与使用场景（防止跨会话重放）、以及连续失败后的处置（换码、限速或临时锁定）。还要关注可访问性替代通道，例如语音播报与短信验证，这些通道若设计不当会成为新的绕过路径。验证码本身只是第一层，真正的防护效果需要与服务端风控联动。
基本信息
| 检查点 | 识别难度、一次性、会话与场景绑定、失败处置 |
|---|---|
| 主要风险 | 可被识别服务绕过，导致自动化放大 |
| 加固方向 | 行为验证与服务端风控结合，而非只依赖图片 |
| 评估方式 | 在授权范围内用有限次数做自动化通过率评估 |
典型使用场景
- 登录入口：防止口令批量尝试
- 注册与找回密码：防批量注册与账号探测
- 短信发送：验证码作为限流前置条件
- 活动领券：防止脚本批量领取
- 管理后台：高价值入口需要更强的前置校验
检查清单
检查清单
1. 验证码是否服务端生成并在使用后立即失效
2. 是否绑定会话与场景：换会话或换用途能否复用同一验证值
3. 连续失败后的处置：是否换码、限速或临时锁定
4. 可访问性替代通道是否引入新的绕过路径
5. 校验结果是否与服务端风控联动，而不只是前端拦截检查点与期望
| 检查点 | 期望表现 | 常见缺陷 |
|---|---|---|
| 生成位置 | 服务端生成并校验 | 前端生成，结果可被伪造 |
| 失效策略 | 使用一次即失效 | 可重复提交同一验证值 |
| 会话绑定 | 与当前会话和场景绑定 | 跨会话或跨用途可复用 |
| 失败处置 | 逐步加强限制 | 仅提示错误，不增加成本 |
验证码强度难以量化：用自动化工具在授权范围内做有限次数的通过率评估即可，不做大规模样本采集。