何時詢問驗證碼規則？

Question

雖然關於Captcha實施的討論很多，但我無法找到有關應該向Captcha申請Captcha的具體情況的任何細節，特別是針對服務消費者的金融應用。如果用戶已經登錄

1. 如果3失敗的登錄/註冊試圖
2. 如果3重複調用

我相信這些規則驅動：

一些我認爲規則。通過安全風險，有沒有更好的方法來管理這一點？任何圖書館，這有助於解決這個問題？

Answer 1

不幸的是，在這種情況下，您總是必須在安全性和便利性之間做出妥協。我認爲你選擇的具體數字很好，一個人可能將不會做這些事情，如果有的話，它是可能不是合法的用戶。我建議在開始要求CAPTCHA繼續後，您還要繼續計數這些情況並在某個時間點記錄警報，並在他們的行爲失控時最終禁止IP地址。

你必須妥協的一個地方就是你如何跟蹤用戶。如果你用cookies來做，它會更準確，但是bot在大多數情況下不會發送cookie，從而避免了跟蹤。唯一真正的解決方案就是跟蹤IP地址。問題在於共享IP地址後面的任何用戶看起來都是相同的，所以如果三個用戶都只有一次登錄失敗，那麼它看起來與一個用戶失敗三次相同（主要）。另外，如果有人因濫用您的網站而被合法禁止並且位於共享IP地址後面，則其他合法客戶可能會受到影響。總結一下，您需要在安全性和便利性之間找到所需的餘額。