学习目标
读完这一讲，你能：
- 理解主流验证码的技术原理和破解方法
- 识别验证码的"身份认证"强度与法律定性的关系
- 建立一个验证码识别方案决策树
技术原理
验证码（CAPTCHA，Completely Automated Public Turing test to tell Computers and Humans Apart）的核心目的是区分人类和机器。按技术演进，可以分成四代。
第一代：图形验证码
import ddddocr
ocr = ddddocr.DdddOcr()
with open('captcha.png', 'rb') as f:
img_bytes = f.read()
result = ocr.classification(img_bytes)
print(result) # 输出识别结果，如 "A3B7"
原理：生成带噪声的字符图片，让人类识别。OCR 技术可以自动化识别简单验证码，复杂一点的需要深度学习模型。
第二代：滑块验证码
技术原理：在背景图上挖去一块（缺口），用户需要把滑块拖到缺口位置。服务器校验拖动的轨迹、速度、加速度是否符合人类行为特征。
破解思路：
- 图像处理找到缺口位置（边缘检测、模板匹配）
- 模拟人类拖动轨迹（带随机加速度和停顿）
# 伪代码：滑块验证码破解
import cv2
import numpy as np
def find_gap(bg_img, slider_img):
"""通过模板匹配找到缺口位置"""
result = cv2.matchTemplate(bg_img, slider_img, cv2.TM_CCOEFF_NORMED)
_, _, _, max_loc = cv2.minMaxLoc(result)
return max_loc[0]
def human_like_drag(page, gap_x):
"""模拟人类拖动轨迹"""
current = 0
while current < gap_x:
# 随机加速度，模拟人类
step = random.randint(1, 5)
page.mouse.move(current + step, 0)
current += step
time.sleep(random.uniform(0.01, 0.05))
第三代：行为验证码
点选验证码（"请点击所有包含红绿灯的图片"）、旋转验证码、空间推理验证码。这些基于 AI 的验证码，传统的图像处理方法很难破解，通常需要打码平台或 AI 模型。
第四代：无感验证
背后采集用户的鼠标轨迹、键盘节奏、设备指纹、浏览行为等多维度数据，通过机器学习模型判断是人类还是机器。用户可能完全没有感知到验证过程。
真实判例
林某平案
被告单位破解了某房产网站的"挑战登录"机制。挑战登录不是简单的图形验证码，而是包含多重校验的身份验证流程。法院认定，绕过多重身份验证 = "采用其他技术手段"。
这个案子的启示是：验证码的法律定性不取决于技术难度，而取决于它的功能定位。如果验证码是"防止机器批量操作"的，破解它可能被认定为"规避反爬措施"。如果验证码是"身份认证"的一部分（比如登录时的短信验证码），破解它就直接构成"未经授权访问"。
打码平台的连带责任
打码平台是什么？平台招募大量真人，在网页上帮你点验证码。你的爬虫遇到验证码，把图片传给打码平台，平台分发给在线工人，工人点完把结果传回来。
这种模式的法律风险在于：如果你的爬虫被用于犯罪活动（比如批量注册账号、爬取个人信息），打码平台可能构成帮助信息网络犯罪活动罪。刑法第287条之二。
法律分析
破解验证码是否构成"侵入"，目前没有统一的司法解释。但可以从两个维度分析：
维度一：验证码的功能定位
| 验证码类型 | 功能定位 | 破解后的法律风险 |
|---|---|---|
| 防批量图形验证码 | 反爬措施 | 中（可能被认定为规避技术措施） |
| 登录短信验证码 | 身份认证 | 高（直接关联未经授权访问） |
| 支付验证（指纹/人脸） | 金融安全 | 极高（可能构成金融犯罪） |
维度二：破解行为的规模
偶尔破解一个验证码 = 技术实验。规模化运营打码平台 = 黑产链条。法院对后者的打击力度远大于前者。
实战输出：验证码识别方案决策树
遇到验证码时：
│
├─ 是图形验证码？
│ ├─ 频率很低（< 10次/天）
│ │ └─ 用第三方打码平台（合规API）
│ ├─ 频率中等
│ │ └─ 评估是否值得，考虑官方API替代
│ └─ 频率很高（> 1000次/天）
│ └─ 停止抓取，寻求官方数据合作
│
├─ 是滑块/行为验证码？
│ ├─ 用于登录认证？
│ │ └─ 🔴 高风险：停止，寻求官方授权
│ ├─ 用于反爬验证？
│ │ └─ 🟠 中高风险：降低频率，考虑业务合规性
│ └─ 用于支付/金融？
│ └─ 🔴 极高风险：绝对禁止
│
└─ 是无感验证？
└─ 已经被识别为爬虫了
└─ 立即停止，调整策略
建议把这个决策树打印出来，贴在团队工位上。遇到验证码的时候，先查树，再写代码。
