图形验证码验证码来源

12306的图形登录页面上，那个需要你点击“倒立的验证源文字”或者“点击图中所有的自行车”的小方块，背后连着一套完整的码验商业逻辑。它不是证码凭空冒出来的。

2002年，图形卡内基梅隆大学的验证源Luis von Ahn搞了一个项目，叫CAPTCHA。码验全称是证码Completely Automated Public Turing test to tell Computers and Humans Apart——完全自动化的公开图灵测试，用来区分计算机和人类。图形最初的验证源版本简单粗暴：给你一张扭曲的图片，上面写着几个字母和数字，码验让你识别。证码这套系统的图形假设是：人眼能轻松认出扭曲字符，而当时的验证源OCR（光学字符识别）技术做不到。

这个假设撑了大概十年。码验

2008年前后，OCR技术突飞猛进。研究人员用机器学习方法训练模型，对早期CAPTCHA的识别率已经能超过90%。Google在2012年发表的一篇论文显示，他们对当时主流CAPTCHA方案的破解率达到了99.8%。换句话说，传统字符型验证码在技术层面基本失守了。

于是验证码开始进化。从“识别字符”变成“识别语义”——比如让你选出所有包含“红绿灯”的图片。这背后的逻辑变了：不再是测试你能不能“看见”，而是测试你能不能“理解”。Google的reCAPTCHA v2就是这个思路，它同时在做两件事：验证你是人，以及顺便帮Google标注训练数据。你每选一次“斑马线”，就在帮Waymo的自动驾驶模型贡献一个标注样本。

国内的情况更复杂。12306当年推出图形验证码的时候，被骂上了热搜。那些“点击图中所有的锅铲”“选出所有包含液体的图片”的题目，难度大到让普通人怀疑人生。但仔细想想，12306面对的是什么？是黄牛用脚本每秒几百次的抢票请求。字符验证码根本挡不住。他们选了一条更暴力的路：把验证码的语义识别难度拉到接近人类认知的边界。代价是用户体验受损，收益是脚本成本急剧上升。

验证码的来源，往深了说，是“图灵测试”在工程上的一种廉价实现。它不追求真正的智能判断，只需要找到一个“人类容易、机器困难”的任务。这个任务随着技术进步不断漂移：从字符识别，到图像语义，到行为分析，再到现在的无感验证。

reCAPTCHA v3干脆不让你点任何东西了。它在你浏览页面的时候，偷偷收集你的鼠标轨迹、点击节奏、浏览器指纹、IP信誉，然后给一个0到1的分数。低于阈值就直接拦截。你甚至不知道自己在被验证。这套系统背后是Google积累的海量用户行为数据——它见过几十亿人的鼠标怎么动，所以知道“像人”是什么样子。

但这里有个问题。验证码的“人类”标准，本质上是“像大多数人”。如果你的鼠标移动方式、打字节奏和大多数人不一样——比如你用的是轨迹球、或者你有运动障碍、或者你只是习惯慢慢移动鼠标——你就可能被判定为机器人。验证码的公平性，从来就不是它设计时的首要考量。

另一个来源是众包标注。很多验证码系统在验证你的同时，也在利用你。reCAPTCHA早期用验证码来数字化纸质书籍，后来用来标注街景门牌号，再后来用来训练自动驾驶的图像识别。你每通过一次验证，就免费给科技公司打了一份工。这个模式是Luis von Ahn发明的，他还因此拿了 MacArthur 天才奖。

现在验证码的形态还在变。微信小程序里经常遇到的那种“拖动滑块拼图”，背后是行为轨迹分析。你拖动滑块的速度、加速度、抖动模式，比你的拼图准确度更能说明你是人还是脚本。有安全团队做过实验，用脚本模拟人类拖动，通过率能到70%以上。但加上加速度变化和微小抖动之后，通过率降到个位数。

验证码从来不是一道“证明你是人”的题。它是一道“证明你比脚本更像人”的题。而“像人”的标准，由那些拥有最多人类行为数据的公司来定义。这才是图形验证码真正的来源——不是某个技术方案，而是一场持续了二十年的、关于“人类行为特征”的数据军备竞赛。