CAPTCHA(验证码).

CAPTCHA(全自动区分计算机和人类的公开图灵测试)向用户呈现一项对人类容易、对软件困难的任务:扭曲文本、图像选择、音频提示,或无感的行为分析。这一术语出自 2003 年 Carnegie Mellon 的 Luis von Ahn、Manuel Blum、Nicholas Hopper 和 John Langford 撰写的一篇论文,该文将这一挑战定位为“困难的 AI 问题”——任何能解出它的程序都推动了 AI 的进步,因此无论哪种情况,这项测试都保持有用。reCAPTCHA 是同一团队孵化的项目,曾通过验证码挑战众包书籍数字化工作,于 2009 年被 Google 收购。

flowchart TD
  U[访客提交表单] --> W{"CAPTCHA / 风险检测"}
  W -->|"信号:鼠标、IP、浏览器"| SC[评分请求]
  SC -->|"高置信度为真人"| P[放行]
  SC -->|"低分"| CH[交互式挑战]
  CH -->|"通过"| P
  CH -->|"失败 / 打码农场"| B[阻止或升级验证]

Google reCAPTCHA v3、hCaptcha 和 Cloudflare Turnstile 等现代服务会基于浏览器信号、IP 信誉和交互模式对请求评分,而不总是展示一道谜题。验证码可减少凭据撞库、爬虫、虚假账号注册和评论垃圾,但它 不是身份验证:图像和文本挑战如今会被现代计算机视觉模型以及付费的人工打码农场大规模攻破(像 2Captcha 这样的服务,几美元就能买到数千次解题)。它们还带来无障碍与隐私方面的担忧。应把验证码视为速率限制、MFA、机器人管理与行为分析等多层防御中的一层,而非独立的关卡。