打开任意一个网站注册页面，证码你都会撞上那道扭曲的实现字母墙。用户骂它反人类，证码但没它又不行——垃圾注册、实现撞库攻击、证码羊毛党能把服务器薅秃。实现web验证码的证码本质就是一道人机区分题，只不过出题人永远在跟破解者赛跑。实现

最基础的证码实现是图形验证码。后端用GD库或ImageMagick生成一张带随机字符的实现图片，把答案存进session，证码前端提交时比对。实现这里有个细节：字符必须扭曲、证码加噪点、实现穿插干扰线，证码否则OCR（光学字符识别）三秒就能拆穿。我见过有人直接用纯色背景加宋体字，那等于把门锁挂在门上——形式主义。真正的图形码得让人类花两秒辨认，却让机器需要训练上千次模型才能攻破。

但图形码有个致命弱点：它依赖前端渲染。验证码图片的base64数据一旦被截获，攻击者可以绕过浏览器直接模拟请求。所以稍微讲究点的系统都会做二次校验——比如把答案用AES加密后埋进隐藏字段，提交时连同用户输入一起解密比对。这不算高深，但能挡住八成脚本小子。

后来Google推了reCAPTCHA，思路彻底变了。它不再让用户读字符，而是直接问“点击所有包含红绿灯的图片”。这背后是图像识别与行为分析：鼠标移动轨迹、停留时长、点击偏移量全被记录。真人移动有加速度，机器拖动是直线，这些特征值一算，概率模型立刻打分。有意思的是，你让用户免费帮它标注训练数据，它还能赚钱——这招比传统验证码高明多了。

国内用得多的滑块验证也同理。看似是拖滑块拼图，实际监测的是你的拖拽曲线。快速拖过去会失败，因为真实人类总有微小抖动；匀速直线滑过去更可疑，那像机器写的代码。还有些实现会在滑动过程中插入随机事件采集——触摸屏的按压面积、鼠标滚轮状态、甚至浏览器指纹。这些数据拼凑起来，比那拼图本身更能说明问题。

但道高一尺魔高一丈。现在有打码平台，真人接单代答，一块钱十条。这种众包破解让任何视觉验证码都失效——因为对面就是个人。所以大厂开始转向无感验证：你在页面停留时间、滚动节奏、是否复制粘贴、甚至CPU的并发线程数都能成为特征。阿里云的滑动验证会静默计算这些维度，只要你的行为偏离人类基线，弹窗立刻出现。

写代码时有个坑容易踩：别把验证码校验放在前端。有人图省事，把答案直接写在JS变量里，这等于把保险箱密码贴在箱子上。正确做法是后端生成、后端校验，前端只负责展示和提交。还要加时间戳——验证码生成超过60秒就作废，防止有人拿旧码慢慢研究。另外，每次校验失败必须重新生成，别让同一个码能被试三次以上。

最后说点实在的。小网站别学大厂搞复杂风控，用最简单的图形码加上请求频率限制就够了。但记住一点：验证码永远在明处，攻击者在暗处。你的目标是提高攻击成本，而不是追求绝对安全——当破解成本高于收益时，攻击者自然转向其他目标。这就像门锁，挡不住职业盗贼，但能吓跑顺手牵羊的。