网页验证码插件

上周帮朋友处理一个WordPress站点，网页后台登录页被暴力破解工具盯上了。验证日志里每秒钟都有几十条尝试记录，码插用户名从admin到test轮了个遍。网页他问我装什么安全插件，验证我说先别急着上防火墙，码插把验证码加上——这是网页成本最低、见效最快的验证一步。

网页验证码插件干的码插事情很纯粹：在表单提交之前，插入一道只有真人能轻松通过的网页关卡。听起来简单，验证但不同插件的码插实现方式差别很大，选错了要么形同虚设，网页要么把真实用户挡在门外。验证

三种主流验证方式，码插各有各的坑

最早用的是字符图片验证码，扭曲字母加噪点那种。现在不推荐了。OCR工具识别率已经很高，某宝上打码服务一分钱能过好几个。更麻烦的是用户体验——我见过一个后台，验证码里的0和O完全分不清，连续输错三次锁账号，气得人想砸键盘。

后来流行滑块验证。拖动拼图对齐缺口，交互上确实舒服很多。但道高一尺魔高一丈，模拟鼠标轨迹的脚本早就成熟了。某开源滑块插件在GitHub上被人扒出验证逻辑全在前端，抓包直接改一个参数就能绕过。所以选滑块类插件，一定确认它有没有服务端二次校验。

现在比较靠谱的是行为验证。比如Cloudflare Turnstile，用户只需要点一下复选框，后台根据鼠标移动、浏览器指纹等几十个信号判断是不是真人。Google reCAPTCHA v3更极端，完全不打扰用户，在后台默默打分。但这两个在国内的访问稳定性是个问题，做外贸站无所谓，面向国内用户的站点得斟酌。

插件选型时我关注什么

拿WordPress生态来说，插件仓库里搜“captcha”能出来上百个结果。我一般按这几个标准筛：

第一，看它支持哪些表单。有些插件只保护wp-login.php，但Contact Form 7、WooCommerce结账页、自定义注册表单全是敞开的。攻击者不傻，哪里没防护就从哪里进。第二，看验证逻辑在哪一层。纯JS验证的直接跳过，必须要有服务端请求去验证token。第三，看它会不会拖慢页面。我测过某款插件，光加载reCAPTCHA的脚本就多出400ms，对电商站来说这是实打实的转化率损失。

还有个小细节：验证码失败后的提示信息。写得越具体，越方便攻击者调试。好的插件只会说“验证失败，请重试”，不会告诉你“token已过期”还是“分数过低”。

一个容易被忽略的配置问题

很多人装完插件就完事了，密钥填对，功能开启，收工。但有个坑：如果你站点用了页面缓存，验证码图片或者token可能被缓存下来，导致所有用户看到同一个验证码。这个bug不会报错，表面一切正常，实际上验证码已经废了。解决办法是在插件设置里把验证码相关的URL加入缓存排除列表，或者干脆对登录页禁用缓存。

另外，别在同一个站点上装两个验证码插件。我见过有人同时开了reCAPTCHA和一款国产插件，结果两个脚本打架，表单提交直接卡死。排查了半天才发现是插件冲突。

验证码不是万能的。它挡得住自动化脚本，挡不住人工打码平台。但对于绝大多数中小站点来说，加上验证码之后，暴力破解的成本从“几乎为零”变成了“需要花钱”，这就已经过滤掉九成以上的攻击了。剩下的，交给登录失败次数限制和IP黑名单去处理。