验证码与人机验证：类型、触发与止损边界

本文基于模型知识整理。本篇立场明确：不提供破解验证码的方法；讨论的是「为什么会遇到、如何合法地少遇到、何时应当止损」。

一句话定义

验证码（CAPTCHA）与滑块、点选等人机验证是站点区分「人/程序」的挑战机制；对采集者的正确应对是「用礼貌与需求正当性降低触发概率，并在持续触发时止损」。

为什么重要

验证码是 kp-016 五层阶梯的第 4 层信号。持续出现验证码意味着对方已明确把你识别为高可疑流量——继续对抗在多数法域与平台条款下越界，且技术成本陡增。读懂它的信号价值，比研究「怎么过」重要得多。

前置知识

kp-016（反爬分层）。

核心概念

• 类型谱系：图形字符码（传统）、滑块/拖拽、点选文字/图像、无感验证（行为评分，通过则不打扰）、短信/邮箱验证（强身份）。
• 触发逻辑：频率异常 + 行为特征 + 环境可疑度加权评分，超阈值触发挑战。
• 合理应对序：① 降频/收敛行为（多数情况有效）② 缩小目标范围（只采必须的数据）③ 人工介入处理少量挑战（小规模合法）④ 止损（换授权渠道）。
• 红线：批量打码平台对登录态/付费内容场景的自动化破解，存在明确法律与条款风险（kp-004）。

原理与机制

「少触发」的因果链（这是本篇可执行的核心）：

触发评分 ≈ 频率分 + 行为分 + 环境分
频率分:   QPS 超、间隔规律   → 令牌桶+抖动( kp-017 )直接降低
行为分:   直奔详情无浏览路径 → 模拟合理导航顺序; 减少无意义全量遍历
环境分:   UA/头/会话不自然   → 请求一致性修复( kp-006/035 )
结论: 大多数「验证码困扰」其实是礼貌抓取没做好的镜像信号

止损判据（满足任一条应停止对抗）：目标属于登录/付费后内容；挑战持续触发且升级（点选→短信）；需求可用公开/授权数据替代（kp-032）；预期收益低于对抗与法律风险成本。

实例或案例

某比价需求在小站触发点选验证：排查发现脚本以固定 500ms 间隔直爬详情页（频率分+行为分双高）。改为 1–2s 抖动间隔、按类目切片分批采集后，两天内未再触发——验证码消失于限速修复，而非任何「破解」。

常见误区

• 误区一：验证码是技术挑战，值得攻坚。 它是风控语义信号：对方明确拒绝此类访问；攻坚=明知故犯。
• 误区二：打码平台是普通工具。 其用途大量涉及绕过访问控制；商用风险（民事/行政/刑事）真实存在。
• 误区三：无感验证=可以放心高频。 无感验证靠行为评分后台触发，高频照样会在关键时刻弹出强挑战。

自测题

1. 持续遇到验证码的第一反应应该是什么？

答：当作第 4 层风控信号——回查频率、行为、请求一致性三处，先修复礼貌性再谈其他。

1. 列出两条止损判据。

答：目标为登录/付费后内容；挑战持续升级不缓解；可被授权数据替代；成本收益倒挂（任一即止损）。

1. 为什么本篇不给「怎么过验证码」？

答：绕过人机验证属绕过技术措施，法律与条款风险明确；可执行的正确路径是降触发与止损。

与其他知识点的关系

kp-017 的限速是降低触发的主手段；kp-035 的环境一致性影响评分；kp-004 是所有判断的最终依据。

延伸阅读

本库 kp-016、kp-017、kp-004；主流人机验证服务的公开白皮书（了解防守方视角）。