有没有人觉得现在验证码用得太泛滥了？在很多界面其实是多余的

[tankb52]

比如说登录的时候也需要要填验证码？

注册的时候填验证码我可以理解，防止机器大批量注册；但是登录界面表示默认对方已经拥有了账号，只要账号与密码匹配就可以了，这个时候填验证码是为了避免什么？

最后在研究keepass自动登录的时候注意到这个问题的。

[xxstop]

这玩意就是一个蛋疼的东西。

[oott123]

避免暴力破解密码咯

[haozhang]

没办法，有些人就是素质低，比如说黄牛...

[joyjy]

盗号的人也会刷登录。

[GhostFlying]

很多时候验证码靠不住，所以多用只是为了加大软件登录的成本而已

[lollxxox]

用户永远觉得验证码是多于的，因为他是一个“活人”；
网站的管理员永远想加验证码，因为他看的是“死人”生成的log。

现在技术的关键是如何判断到底是“死人”还是“活人”，简单的方法就是全当你是“死人”。

[wangtuyi]

理论上验证码是防止机器的，包括不限于：暴力猜解密码、用户名密码fuzz、重复提交等。
但确实很多敏感操作，如登陆、注册等也是有使用验证码，大部分是两种，一种是直接显示，另一种是点击验证码输入框才显示，但也都给用户带来了不便。
我喜欢的一种方式是后台验证输入有误三次才显示验证码，这就很好

[janxin]

因为有人爆破密码....

[tankb52]

@wangtuyi

嗯，这样确实很不错。可惜很多网站还是喜欢简单粗暴的验证啊

[Owenjia]

不加验证码，然后限制时间间隔和尝试次数怎么样？

[exoticknight]

有

[lwbjing]

大部分的产品只是觉得，别人都有，那我也加一个。。 而不是我要这个真正是为了什么。。。

[kisshere]

话说 我用casperjs登录某网站，结果始终在验证码这关卡住了

[loveminds]

@lollxxox
@wangtuyi
@xxstop 可以做到用户体验更好的方式来验证 而不只是 扭曲的机器

[shiny]

频率限制可以通过更换代理 ip 来绕过，所以在非常用地点尝试登录的时候应该出验证码，常用地点则仅仅登录出错一定次数后再显示验证码。

[imn1]

@Owenjia 如何记录上次尝试登录的时间？数据库么？

[bydmm]

好的验证码能挡住除了“人肉识别”以外的机器人

[lyragosa]

我的方法是 同一IP输入五次密码错误就ban掉IP15分钟

不设置验证码

如果有人乐意5分钟换个IP这么搞我我也认了。大爷的DDOS攻击任何人都防不住

[binux]

@lyragosa 弄几千个ip不要太简单

[zts1993]

一点都不多余。。robot可多了。。