输入框里那串歪歪扭扭的网站字母，我盯了足足十五秒。验证左边那个像“m”，网站右边那个像“N”，验证中间夹着一条斜线，网站背景还铺满了密密麻麻的验证噪点。点了一下刷新，网站换了一批更离谱的验证——这回连字母带数字全挤成一团，像被水泡过的网站报纸。我叹了口气，验证摘下眼镜凑近屏幕，网站才勉强辨认出“7”和“q”的验证区别。

这就是网站网站验证码。一个让全球网民每天累计浪费掉几十万小时的验证东西。

说起来，网站验证码的初衷挺朴素。2000年前后，垃圾邮件机器人疯狂注册账号，有人就想了个办法：给人类出一道机器答不上来的题。最早是简单的数学题，“3+5等于几”，后来变成扭曲文字，再后来是选图片——“请点击所有包含红绿灯的方块”。逻辑没变过：人类觉得简单，机器觉得难。

但事情慢慢跑偏了。

我见过最离谱的一个验证码，是某小众论坛的注册页。它要求用户把一段中文古诗翻译成英文，再回答诗中提到了几种颜色。我当时就关了页面。还有一个电商网站，验证码是一道微积分题——求导。我怀疑他们的目标用户是数学系研究生。

更常见的是那种“看似简单实则折磨”的类型。字母大小写混排，零和O长得一模一样，1和l完全分不清。你输错一次，它刷新；再输错，它给你加长到八位。第三次，它直接弹出一行字：“检测到异常操作，请稍后再试。”明明是你让我输的，输不对还怪我？

有个做前端的朋友跟我聊过这事。他说很多网站的验证码不是自己写的，是直接调用第三方接口。第三方为了防破解，把难度调得越来越高。结果就是：机器人没挡住几个，真人用户先被劝退了一半。他给我看过后台数据，某次验证码升级后，注册转化率直接掉了12%。老板以为是服务器问题，查了半天才发现是验证码太变态。

还有个有意思的现象。有些验证码你第一次输对了，它反而说你错。得刷新一次，输第二次才过。后来有人分析，那是故意设计的——第一次是“蜜罐”，专门钓自动化脚本。人类会习惯性刷新重试，机器往往就卡在那一步。这招挺损，但确实有效。

谷歌曾经做过一个统计，他们每天要处理几百万次验证码请求。其中大约有百分之十几的用户，在第三次尝试失败后就永久放弃了那个网站。百分之十几，放在电商场景里，就是白花花的银子流走。

我自己的习惯是：看到验证码超过六位，直接关页面。不是没耐心，是觉得不值。一个网站如果连进门都要折腾我三回，里面的内容大概率也好不到哪去。这判断不一定对，但省时间。

当然也有做得好的。有些网站用“滑动拼图”，手指一划就过。有些用“点击文字点选”，比如“请依次点击‘天’‘地’‘人’”，至少比辨认扭曲字母舒服。还有极少数，干脆不设验证码，用行为分析判断你是人还是机器——鼠标移动轨迹、点击间隔、页面停留时间，这些数据足够做判断了。可惜愿意花成本这么干的网站不多。

说到底，验证码是一场永无止境的猫鼠游戏。机器越来越聪明，验证码越来越难，人类夹在中间，成了最倒霉的那一方。每次我对着屏幕眯眼辨认那些鬼画符的时候，都会想：这玩意儿到底在验证我是人，还是在验证我有多能忍？

下次再遇到那种“请选出所有含消防栓的图片”，我打算直接关掉。让机器人去注册吧，我不玩了。