需要验证码的网站

凌晨两点，需验我盯着屏幕上那个由六个扭曲字母组成的证码站验证码框，第五次输入错误。需验第四次错误时，证码站系统已经自动刷新了验证码，需验新图案里那个“B”看起来像“8”，证码站而“8”又像“G”。需验我眯着眼，证码站把脸凑近屏幕，需验还是证码站没看清。最终，需验我放弃了注册那个论坛账号，证码站转而打开手机刷短视频。需验整个过程耗时四分钟，证码站让我彻底失去了对一个陌生领域的需验好奇心。

验证码这东西，诞生之初是个善意的过滤器。2003年，卡内基梅隆大学的团队发明它的初衷很简单——区分人类和机器，防止垃圾程序批量注册。早期版本还算友好，几个歪歪扭扭的字母，输进去就完事。可如今它已经异化成一种数字时代的酷刑。我见过一个需要拖动滑块拼图的，拼图块只有两毫米误差容错；还有过一种要你选出所有包含红绿灯的图片，结果图片里有一辆公交车尾灯恰好闪了黄光；最离谱的是某个银行网站，验证码是四则运算，算完还得把结果转成中文大写数字。我数学不好，这关我卡了六次，最后打电话给客服，对方说“抱歉先生，这是安全策略”。

安全策略。这四个字背后站着的是安全工程师，他们每天的工作就是让验证码更难被破解。但他们显然没想过，验证码的敌人从来不是普通用户，而是那些有大量算力资源、能训练图像识别模型的攻击者。普通用户靠肉眼识别，攻击者靠深度学习。结果就是，验证码每升级一次，普通人的使用门槛就跟着抬高一截，而攻击者总能找到新的绕过方式。这场军备竞赛里，被夹在中间的永远是那些只想登录自己邮箱的普通人。

我有个朋友在互联网公司做产品经理，他跟我讲过一件事。他们后台数据显示，某次验证码改版后，注册转化率直接掉了12%。他们紧急回滚版本，转化率才恢复。他说：“我们根本不关心验证码是不是绝对安全，我们只关心它别把用户赶跑。”这话听着功利，却是实话。验证码本质上是信任成本，网站用它来筛选恶意流量，但成本不能全让用户承担。有些网站想明白了，开始用无感验证——后台默默分析你的鼠标轨迹、浏览速度、设备指纹，判断你是人是机器。我挺喜欢这种方案，至少不用再对着扭曲字母较劲。但无感验证也有翻车的时候，我曾在手机浏览器上被判定为“可疑”，因为我的浏览器设置了隐私保护，禁止了Cookie。那一刻我哭笑不得——我保护隐私，反而被当成机器人。

更讽刺的是，验证码有时会拦住真正的人，却放过了假的。有一次我帮父亲注册某个政务APP，验证码显示的是“请点击所有带斑马线的图片”。父亲六十多岁了，戴着老花镜找了半天，突然问我：“手机上的斑马线是不是就是那种黑白的横道？”我说是。他颤巍巍地点了其中一张，系统提示错误。他又试了一次，还是错。后来我才发现，那些图片里有一张是地下通道的楼梯，也画着类似斑马线的防滑条。父亲骂了一句：“这玩意儿比考驾照还难。”我无言以对。那一刻我意识到，验证码正在把一部分人挡在数字世界门外——老年人、视力障碍者、文化程度不高的群体。他们不是机器人，却被机器逻辑误伤了。

我最近开始怀念最早的验证码，那种纯数字、纯字母、排列整齐的版本。虽然也烦人，但至少一眼能看清。现在的验证码像是设计师和攻击者之间的斗法现场，每个像素都在互相较劲。有时候我会想，如果有一天验证码彻底消失了，被更智能的无声机制取代，我会不会想念这个让人抓狂的小框？大概不会。但我知道，只要网络上有利益可图，就永远有机器人想混进来，也就永远需要某种形式的“人机验证”。只是希望将来的验证方式，能少一点对普通人的刁难，多一点对真实人类的理解。毕竟，我们又不是机器人，何必彼此为难。