做过线上业务的人大多碰到过类似情况。活动页刚上线，短信费用一夜之间翻倍；注册量看着不错，次日留存却几乎为零；评论区突然冒出一排内容相同的广告。这些问题的背后，多半是脚本、批量工具或黑产在替真人操作。人机验证要做的，就是在关键节点上判断这次操作是不是一个真实的人。
人机验证是什么
人机验证，常见的说法还有验证码或行为验证。它会在登录、注册、提交表单、发送短信这类敏感操作之前出现，要求操作者完成一次交互，由系统判断对面是真人还是程序。早期的验证码多是扭曲变形的字符图片，识别难度高，用户看得烦，而且随着图像识别技术变好，这种方式的防护效果也越来越有限。
阿里云的人机验证属于云上的安全能力。业务方接入前端组件和后端校验接口即可使用。它的思路是把”验证”从单一的图形挑战，扩展成多种形式加风险判断的组合。前端看到的可能只是一个滑块，后台其实已经结合设备、行为等信息在做判断。
常见的验证形式
接入时，验证形式大致分成几类，选哪一种要看业务场景和风险等级。
- 滑块验证：用户拖动滑块完成拼图。操作成本低，大多数网页场景都能接受，适合作为常规的第一层。
- 文字点选：按提示依次点击指定的文字或图形。安全性更高，但手机上点得慢，老年用户或手指操作不稳的用户会比较吃力。
- 智能无感验证：系统根据设备、行为轨迹和历史信誉直接判断。低风险用户几乎感觉不到，只有可疑请求才会弹出挑战。
三者可以组合着用。比较常见的做法是默认走无感验证，只有风险分数超过阈值时才升级为滑块或点选。正常用户基本不被打扰，异常流量则会遇到足够的阻力。
案例一：秒杀活动里的抢购脚本
某家居品牌在周年庆推出限量秒杀商品。活动开始后几秒钟，下单接口的请求量就远超平时的几十倍。复盘时发现，大部分请求来自同一批数据中心的 IP，间隔高度规律，而且没有任何页面浏览行为，明显是抢购脚本。
团队在下单接口前加了人机验证，并把验证结果作为下单的必要参数。上线后，脚本大量卡在验证环节，真实用户的下单成功率反而上去了，因为库存不再被少数工具占满。这次改动的效果，很大程度上体现在库存回到了真人手里。
值得一提的是，他们调阈值时没有直接硬上。先在灰度环境里只记录风险评分、不做拦截，对比两周的数据，再决定哪些场景需要强制验证。这一步看起来慢，但能避免把大量正常用户一起挡在门外。
案例二：短信验证码被批量刷量
一个 SaaS 产品的注册页面没有任何防护，短信验证码接口被人用来批量刷量。短时间内，同一个手机号被发了几十条验证码，大量虚拟号码同时涌进注册，一周内短信账单涨了数倍。
问题的根源很直接：发短信是有成本的动作，却没有任何门槛。团队的解法是在发送验证码之前加人机验证，同时对同一手机号、同一 IP 做频率限制。上线后，短信量回落到正常水平，恶意注册的比例也明显下降。验证环节前置之后，很多机器请求在第一步就被挡掉了。
这里有一个容易被忽略的地方。人机验证是第一道门，后端仍然要做服务端校验。前端组件本身可以被绕过，如果服务端不校验验证凭证，前面的投入就等于白做。
误拦真人时先看什么
标题里的”误拦”二字，是很多人真正担心的。验证上线后，如果真人用户反馈”验证过不去”，可以按下面的顺序排查，不必一上来就放宽策略。
- 先看是哪个场景：是登录、注册，还是下单。风险阈值通常按场景分开设置，只在一个场景出问题，就只动那一处。
- 再看设备和网络：老旧手机、浏览器插件，或者公司、校园网共享出口 IP，都可能让正常用户看起来像异常。比对被误拦用户的共同特征，往往能找到线索。
- 查客服记录和失败日志：用户描述的问题，比如”滑块怎么都拖不到位”，能帮你判断是体验问题还是风控偏严。
- 小步调整：先放宽单一场景的阈值，观察一段时间的拦截率和投诉量，确认没有反弹再继续。不要一次全局调高，否则刷量很快会回来。
接入时的几个建议
- 服务端必须校验：前端通过后生成的凭证，要在后端调用验证接口确认有效，并且只能使用一次。否则拿到一次通过的凭证，就能反复提交。
- 按场景分级：登录、注册、找回密码、发短信、下单，风险各不相同，验证强度也应该不同。一刀切的结果，通常是正常流程被拖慢，而真正的高风险点反而防得不够。
- 保留降级方案：验证服务异常时，要提前想好兜底策略，比如临时切换为更简单的校验。否则一次服务波动，就可能让整个注册或下单流程停摆。
- 照顾无障碍场景：滑块和点选对部分用户并不友好，视障用户和手部不便的用户尤其如此。应提供语音或其他替代方式，并在页面上说明。
- 持续看数据：关注验证通过率、拦截率和误判投诉，定期调整。配置一次就不管，策略很快会和业务脱节。
小结
人机验证的目标，是在真人和机器之间找到一个平衡点。对正常用户尽量无感，对异常行为保持足够阻力，同时把服务端校验做扎实。阿里云的人机验证能力可以作为这套分级策略的基础，但具体怎么配，还要结合自己的业务规模、风险类型和用户群体来判断。先从最容易被刷的环节入手，用数据看效果，再逐步扩展，通常比一开始就全面铺开更稳妥。
