太原网站表单要不要加验证码，先看这三点

上周又遇到一个案例：客户网站的表单加了四位图形验证码，字歪歪扭扭，老年用户根本看不清，咨询量掉了不少。而真正该防的批量提交，对方用打码平台几毛钱一次就绕过去了。

验证码挡住的往往是自己人

图形验证码的设计初衷是区分人和机器，但现在识别成本已经很低。真正被挡住的，是视力不好的人、手机输入不便的人、急着办事没耐心的客户。判断标准很简单：你现在被刷了吗？如果没有，验证码只是在给自己添堵。

真被刷了，先分层防

防刷不该只靠一道验证码。更有效的组合是：同 IP 和同设备限频、提交间隔检测、关键字段做规则校验、可疑请求进人工审核队列。这几层加起来，批量提交的成本立刻高上去，真实用户几乎无感。这比让所有人做题合理得多。

必须加的话，选对类型

如果确实需要人机验证，优先用行为式，比如滑块，它对真实用户几乎无感。次选是短信验证，成本按条算，适合注册和敏感操作。图形验证码放在最后，而且要注意字号和对比度，别做成看不清的艺术字，那只是给自己找麻烦。

还有一个常被忽略的点：验证码要能降级。第三方验证服务偶尔会挂，一挂表单就提交不了，业务直接中断。我们给客户做的时候会留一个开关，服务异常时自动关掉验证并加强服务端限频，宁可短暂放宽也不能让业务停摆。

最后提醒一句，表单防刷的上游其实是内容策略。如果提交后会立刻公开显示，被刷的动机就强；如果先进后台审核再展示，动机就弱很多。改流程有时比加技术手段更有效，这一点不少产品经理会忽略。

表单验证码的常见疑问

不加验证码会被刷吗

取决于有没有人盯上你。先看日志有没有异常频率，没有就不必提前加，加了反而伤转化。

行为验证和图形验证哪个好

优先行为式，对真实用户几乎无感。图形验证识别率低、体验差，放最后考虑。

第三方验证服务挂了怎么办

留降级开关，服务异常时自动关闭验证并加强服务端限频，别让表单直接不可用。

总结：验证码挡住的往往是自己人。先看有没有真实攻击，再分层限频，最后才考虑加人机验证，并且必须可降级。