人机验证 Captcha方式 简介 - 更新于5/16

huangsam04 2026-05-04 10:24 1


最后更新于 2026/5/16,更新了阿里云Captcha。

2026/5/15,更新了网易智企、顶象、极验、数美科技。



关键词


国内 网页 Web端 人机验证 Captcha方式 简介 。


起因


当我们自建某些网站的时候,总想着保护一下。


但是因为众所周知的网络环境,某验证方式就会像疯狗一样不断循环,又或者加载过于缓慢,因此不禁想用国内企业的Captcha方式。


在我查询网络资料多次后了解了下面这几种验证方法,于是有了本文来简单汇总一下,并希望佬友提供其他验证方式的建议。


警告:我并没有被攻击过,所以 完全不能 指出他们的防护效果。


正文


Anubis - 使用过 - ★★★


免费(付费版提供某些自定义文本功能,在功能上没有区别)。一种PoW的验证方式,搭建较为简易。


评分理由:免费,社区丰富,易搭建。


Cloudflare Turnstile - 使用过 - ★★☆


免费。集成较为简易,也有丰富的社区,但是对于国内网络环境支持还是较慢,需要转圈数秒钟。


我从Anubis替换到了CF Turnstile,但是他实在是对于国内无梯用户不友好(某些人反应说进不去,服了),遂放弃。


而且它似乎判所有的QQ内置浏览器为异常,无法通过,我没找到原因。


评分理由:免费,社区丰富,易接入,但是对国内网络支持还是不行,且有时候会出不明问题。


网易智企 - 没有用过


套餐 按年付费。


顶象 - 没有用过


套餐 按年付费。


T-Sec 天御 验证码 - 没有用过


用量计费 付费。看起来很好,我很想体验他的图形点选验证码。


部分价格表如下(用量包有效期1年):




























次数 价格(元)
3万次 300
8万次 600
20万次 1000
100万次 2000

还有数量更多的包请参考 购买页面 ,超量后0.005元/次。


极验产品 - 使用过 - ★☆☆


套餐 付费。


注册后会给一个体验版账户,如果不用他们的服务的话好像就可以一直开着,但是一旦用了就会暂停(我就是开了50多天没用,一直没暂停,然后接入后用了几天就验证码接口暂停了)。


这时候需要找客服申请转其他类型,但是因为只支持套餐服务所以我没怎么聊。


我并没能获取到他的价格表,这是因为他们的报价需要由他们的销售给用户打电话,然而我不接陌生电话,所以完全没了解到,可惜。


需要注意的是,试用版账户只提供 滑块图片功能 。且我曾在本站看到有人指出滑块图片极其容易破解,所以他的安全性存疑。(不过我想总该比Turnstile好点吧)


阿里云验证码 - 使用过 - ★★★


用量&套餐&资源包 计费 付费。


比较喜欢它的图像复原验证码功能,感觉比较新颖。但根据 【公告】图像复原公测发布 公告来看,此功能仍然为测试版,所以对于攻防安全性存疑。希望以后能用AI生成一堆样本,增强对抗能力。


计费方式请查阅 阿里云验证码2.0如何计算费用 - 阿里云验证码 - 阿里云,由于是公开的,这里不再贴图片。


我的Wiki站点正在使用 图像复原 方式,可以体验一下: NS WIKI 。


数美科技 - 没有用过


付费。没有信息。


结尾


我希望能了解更多易用便宜的验证方式,目前我找到的验证码大部分都要求使用套餐付费方式而不是按量计费,而且套餐都是至少年5k以上,这也太贵了(我根本用不了那么多次数啊)。


浏览了数次之后发现还是腾讯云、阿里云最平易近人??哭了。

最新回复 (7)
  • ✦Lumen 05-04 10:48
    1

    验证实际上只是增加攻击成本而已,自己写个复杂的行为PoW就能拦掉99%的恶意操作了,真被高级流量攻击,你用什么验证都防不了的,但限速规则、WAF、风控系统至少还能对抗一下 ^-^


    最好的防护方式关键还是挂在Cloudflare橙云上,开限速规则,缓存拉上,WAF非中国的IPv6访问非API交互式质询,非常见国家访问非API质询,verified_bot绕过;如果后端是服务器,那可以在后端自写一套风控逻辑,根据cf_clearance、PoW通过给予的cookie防多IP重放攻击弹重验证,全局限速规则,封禁IP,API验证更多限流,行为探测弹重验证之类。没人会去打攻击成本这么高的Wiki站的 ^-^

  • 玩几把 05-04 11:00
    2

    极验4的滑块现在不是已经烂大街了嘛,这个肯定好过的 ^-^

  • huangsam04 楼主 05-04 12:39
    3

    我为了访问速度套的Edgeone 100元/年 套餐。虽然Edgeone提供了一个意义不明的质询页,但是由于套餐等级不够(要求标准版)无法排除Bing Bot导致SEO全爆了。


    所以我只能在nginx上用lua套一个页面反代运行一个验证码防护,然后手动实现对于Bot的防护例外。


    对于高频率的访问依赖Edgeone的自适应频控(60次/分,否则JS验证)和精准速率(60次/10秒,否则拦截),以及流量防盗刷。


    可惜没法用慢速攻击防护。

  • huangsam04 楼主 05-15 17:30
    4

    更新了部分于 2026/5/15,更新了网易智企、顶象、极验、数美科技。


    可恶我竟然无形中漏掉了极验的售后电话,虽然我的站日均100次验证疑似根本不够他们塞牙缝的,不过没能获得报价表还是有点遗憾。


    然后就是感觉还是对个人开发者很不友好,大部分验证码动辄5k/年,而且都不支持按量付费,遗憾。

  • huangsam04 楼主 05-16 22:08
    5

    更新了部分于 2026/5/16,更新了阿里云Captcha。

  • huangsam04 楼主 06-19 15:10
    7

    我已经将我的WIKI站移除了验证码防御,因为我已经从mediawiki切换到了纯静态网站,完全不要安全验证了。


    另外我无法再对文档进行修改,因此这个帖子就只能这样了。

  • FLF 07-29 12:40
    8

    怎么没有reCAPTCHA和hCaptcha

* 帖子来源Linux.do
返回