是不是看到题目一脸懵逼^_^，换句人话其实就是验证码，验证码是网站做人机区分的一种常用手段。想必大家对12306的BT验证码还历历在目吧，尽管遭到无数的吐槽和调侃，但是不可否认验证码作为一种辅助安全手段在Web安全中起着重要的作用，可以一定程度上防止恶意破解密码、刷票、论坛灌水等非法操作。这里我们就来探究一下目前的一些验证码解决方案及其安全性。

全自动区分计算机和人类的图灵测试（英语：Completely Automated Public Turing test to tell Computers and Humans Apart，简称CAPTCHA），俗称验证码。

Google Kaptcha

Kaptcha是一个验证码生成引擎，axet使得基于maven的工程可以很方便的集成自己的项目中，只需要在pom中添加以下依赖即可。

1
2
3
4
5
6
7
<dependencies>
   <dependency>
     <groupId>com.github.axet</groupId>
     <artifactId>kaptcha</artifactId>
     <version>0.0.9</version>
   </dependency>
</dependencies>

示例的controller代码如下所示。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
@Controller
public class CaptchaController {
	@Resource
	private Producer producer;
	@Autowired
	private RedisService redisService;	

    //verification_key可以是一个随机数，例如uuid
	@RequestMapping(value="/captcha/{verification_key}")
	public ModelAndView getPostCodeKaptchaImage(HttpServletRequest request, @PathVariable("verification_key") String verification_key,HttpServletResponse response)
	throws Exception {
		
		try {
			//禁止缓存使得每次点击验证码都可以刷新
			response.setDateHeader("Expires", 0);
			response.setHeader("Cache-Control", "no-store, no-cache, must-revalidate");
			response.addHeader("Cache-Control", "post-check=0, pre-check=0");
			response.setHeader("Pragma", "no-cache");
			response.setContentType("image/jpeg");
			
			// 将验证码内容写入Redis，用户提交表单时取回验证（也可以暂存在cookie里）
			if(StringUtils.isNotBlank(verification_key)) {
				// 生成验证码内容
				String capText = producer.createText();
				redisService.createVerification(verification_key, capText);
				
				// 输出验证码图片
				BufferedImage bi = producer.createImage(capText);
				ServletOutputStream out = response.getOutputStream();
				ImageIO.write(bi, "jpg", out);
				try {
					out.flush();
				} finally {
					out.close();
				}
			}
		} catch (Exception e) {
		}
		return null;
	}
}

Kaptcha提供比较丰富的配置参数，可以在Producer的实现类DefaultKaptcha自动装载的时候进行相关配置。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<bean id="producer" class="com.google.code.kaptcha.impl.DefaultKaptcha">
	<property name="config">
		<bean class="com.google.code.kaptcha.util.Config">
			<constructor-arg>
				<props>
					<!-- 验证码宽度 -->  
                    <prop key="kaptcha.image.width">70</prop>   
                    <!-- 验证码高度 -->  
                    <prop key="kaptcha.image.height">30</prop>  
                    <!-- 生成验证码内容范围 -->  
                    <prop key="kaptcha.textproducer.char.string">0123456789</prop>  
                    <!-- 验证码个数 -->  
                    <prop key="kaptcha.textproducer.char.length">4</prop>  
                    <!-- 是否有边框 -->  
                    <prop key="kaptcha.border">no</prop>  
                    <!-- 边框颜色 --> 
                    <prop key="kaptcha.border.color">105,179,90</prop> 
                    <!-- 边框厚度 -->  
                    <prop key="kaptcha.border.thickness">1</prop>  
                    <!-- 验证码字体颜色 -->  
                    <prop key="kaptcha.textproducer.font.color">0,0,0</prop>  
                    <!-- 验证码字体大小 -->  
                    <prop key="kaptcha.textproducer.font.size">20</prop>  
                    <!-- 验证码所属字体样式 -->  
                    <prop key="kaptcha.textproducer.font.names">Courier</prop>  
                    <!-- 干扰线颜色 -->
                    <prop key="kaptcha.noise.impl">com.google.code.kaptcha.impl.NoNoise</prop>
                    <prop key="kaptcha.noise.color">100,100,100</prop>
                    <prop key="kaptcha.obscurificator.impl">com.google.code.kaptcha.impl.ShadowGimpy</prop>
                    <!-- 验证码文本字符间距 -->  
                    <prop key="kaptcha.textproducer.char.space">3</prop>
				</props>
			</constructor-arg>
		</bean>
	</property>
</bean>

最后在你需要展示验证码的html中加上<img class="captcha" src="/captcha/uuid" alt="验证码">便可以看到如下所示的预览效果。

captcha就是一款典型的传统验证码解决方案，目前此类验证码的安全性已经很低甚至于形同虚设，可以轻松的被光学字符识别（OCR, Optical Character Recognition）之类的电脑程序自动辨识，因此并不适合应用于安全性要求较高的场合。

Google reCAPTCHA

reCAPTCHA是Google推出的一种“简化”的图灵测试，可以通过一种更简单的方法来判断机器人：点击一个复选框。也就是说你只需要像下图一样勾选“我不是机器人（I’m not a robt）”，谷歌便能够识别出是人或者机器的一次操作。这是因为reCaptcha功能会在“不经意间”收集大量信息，包括IP地址和cookies，然后通过收集这些数据看对方是否和过去在互联网上的行为一致，来判定这个用户究竟是不是机器人。尽管reCAPTCHA相对于传统手动输入的验证码相比对用户更加友好，但还是有人担心谷歌过度收集用户信息，并且网上也出现了一些破解算法。

geetest

国产验证码解决方案极验（点击体验），利用行为判别算法，用户只需要轻轻拖动滑块即可完成验证。个人觉得在体验和安全性上较传统的验证码形式都更好的表现，还带有一点点趣味性，唯一美中不足的是免费版的有1000次/小时的累积验证量限制，安全性也较收费版更低。

Reference

[1]. kaptcha
[2]. Googlere CAPTCHA
[3]. 极验