为什么验证码挡不住采集却影响用户体验？

结论：验证码挡不住采集，是因为它把“人机识别”变成了可外包、可批量的成本问题；它影响用户体验，是因为每位真实用户都要为少数攻击者买单，而且这份摩擦是确定发生的。

验证码为什么挡不住采集？

结论：因为采集方可以把验证码识别变成按次付费的流水线，单次成本低到 0.001–0.03 元，而你的接口还在原地等真人。

传统图形验证码面对的是三层替代方案。第一层是 OCR，开源工具 ddddocr 对 4 位数字字母验证码的识别率在 90% 以上，单张耗时低于 50 毫秒。第二层是打码平台，普通图形验证码公开报价 0.5–2 元/千次，复杂点选、滑块类 10–30 元/千次，API 平均响应 1–3 秒。第三层是真人打码，单价 0.01–0.05 元/次，按量结算。

更关键的是浏览器自动化。Playwright、Puppeteer 配合 stealth 插件，再接入代理 IP 池，可以模拟真实浏览器指纹、鼠标轨迹和键盘间隔。滑块验证码的轨迹也能用贝塞尔曲线拟合，把“拖动”拆成 20–50 个坐标点，加上随机抖动。

结论：只要单条数据价值高于打码成本，验证码就只是给采集加了一道税。你提高难度，对方提高预算，最后被卡住的是没有预算的真实用户。

验证码为什么反而伤害真实用户？

结论：因为验证码把安全成本转嫁给所有用户，而用户体验损失是确定性的、可量化的。

登录或注册环节多一个图形验证码，用户平均多花 3–8 秒；移动端点选图片验证码，多花 5–15 秒；如果失败重试，公开测试中重试率可达 30%，每次重试再加 5–10 秒。在注册、支付、领券这类转化路径上，多一步验证通常带来 10%–30% 的转化率下降。

无障碍问题更严重。视障用户依赖屏幕阅读器，图形验证码无法朗读；老年用户看不清扭曲字符；低端手机加载验证码图片可能超时。攻击者只多花 0.01 元，真实用户却要多花 10 秒，还可能直接放弃。

结论：验证码的收益是概率性的，成本却是全员承担的。

那正确的做法是什么？

结论：把验证码从“第一道门”降级为“最后一道闸”，用分层风控按风险触发。

具体步骤：

1. 默认无感。先看 IP 信誉、设备指纹、行为特征：鼠标轨迹、按键间隔、请求频率。这些信号在用户无感知时就能打分。
2. 只对高风险弹验证。同 IP 每分钟请求超过 60 次、同账号每分钟超过 10 次、无鼠标轨迹且 UA 异常，才触发验证码。
3. 用无感验证替代点选。Cloudflare Turnstile、reCAPTCHA v3 返回 0–1 评分，低于 0.5 再做二次验证，用户不用点击。
4. API 侧加签名。timestamp + nonce + HMAC-SHA256，5 分钟过期，服务端拒绝重放请求。
5. 放蜜罐字段。表单里加 hidden 字段，真人不可见，自动化脚本会填，填了直接封禁。

结论：验证码是摩擦工具，不是安全边界。

什么时候必须上验证码？

结论：只在高风险写操作上，读接口尽量不用。

注册、发帖、支付、改密、领券、投票这些写操作，一旦被批量利用，损失直接可见，可以上验证码。读接口用频率限制和 Token 即可，别让用户每次刷新都点图片。如果必须上，优先无感验证，并给用户降级通道：语音验证码、邮箱验证、人工客服。

验证码挡不住采集，因为采集是生意，打码是成本；影响体验，因为用户是免费的人质。把验证码当唯一防线，等于用最贵的方式防最便宜的攻击。分层风控、按风险触发、无感优先，才是正解。