[免费公益] Cap PoW 人机验证免费后端 API（基于 Cloudflare 部署）

[tfu]

最近在给项目找 CAPTCHA 方案，发现了一个很轻巧的开源项目叫 Cap ，它基于 SHA-256 的 Proof-of-Work 算法，完全不依赖图像或追踪用户，非常适合注重隐私和性能的场景。

不过 Cap 默认没有提供一个官方的后端 API ，需要开发者自己部署使用，比较麻烦。所以我基于原项目做了一些修改，并用 Cloudflare Workers 搭建了一个 免费的公开后端 API ，可以直接拿来接入，非常适合个人开发者和小型项目使用。

✅ 永久免费（公益性质）

🚀 接入简单

🛡️ 无用户追踪、隐私友好

欢迎试用和反馈：

👉 API 后端地址： https://captcha.gurl.eu.org/

👉 在线 Demo： https://codepen.io/oceanusx/pen/azvpLyO

集成示例代码：

<script src="https://cdn.jsdelivr.net/npm/@cap.js/widget@0.1.25"></script>
<cap-widget id="cap" data-cap-api-endpoint="https://captcha.gurl.eu.org/api/"></cap-widget>

希望能帮到和我一样想快速接入 CAPTCHA 的开发者！

[Aprdec]

好!

[yodi]

不太懂，验证几乎无交互，真的能完全阻止机器人吗？ 阻止机器人做什么行为？
由于 pow ，单一用户无法短时间内多次频繁通过验证，但是多个不同用户是不是可以慢慢通过验证？

[tfu]

@yodi 无论是什么样的验证码都无法 100%阻止所有机器人，而是增加其操作成本。虽然验证本身无交互，但通过 PoW （工作量证明）机制，可以限制单个用户高频请求；多个不同用户确实可以慢慢通过，但只要你设置足够的难度，就能有效防止批量滥用，比如刷接口、薅羊毛、撞库等。本质上就是一种手段通过提高操作成本（ PoW 计算需要时间）来放慢访问的速度，实现类似于速率限制，防止 DDOS 的效果

[yodi]

@tfu 用来限制单个“正常”用户高频请求可以理解。 但是这跟防 ddos 有什么关系吗？只要暴露 ip 就可能被 D 。是不是我对 ddos 哪里理解错了

[tfu]

@yodi 主要看要防的 DDoS 属于哪种类型。若是 L3/L4 打带宽/协议层的 DDoS ，则 PoW 基本无效，需要靠 CDN/流量清洗/隐藏源站。PoW 主要针对 L7 应用层滥用（有人把这层的滥用称为 CC 攻击、不叫 DDoS ，术语各家不同）：先算后验，把成本转给发起方，批量刷就会更贵更慢（因为计算 PoW 需要时间），只能抬价减速，不能绝对阻断。

[drymonfidelia]

只能做到防 C ，对于能赚钱的灰产完全没效果，灰产的肉鸡几万台起步

[yodi]

@tfu 是不是主要防那种既需要平台正常运转又需要钻空子的攻击？比如说自动抢票程序之类的。

[tfu]

@yodi 对的，一定程度上是能够防止的，本质上验证码就是为了提高操作的门槛