設(shè)計理論“驗證碼”等于“流氓軟件”

1、設(shè)計理論：“驗證碼”等于“流氓軟件”來源：tanggaowei Blog 作者 tanggaowei 點(diǎn)擊數(shù)：232 錄入時間：08-04-08 10:27:50    “'驗證碼'等于'流氓軟件'”這句話本身存在邏輯問題，因為“驗證碼”并不是一個軟件，而是軟件里的一個功能。這句話的實(shí)際意思是，帶“驗證碼”功能的軟件是“流氓軟件”。請不要激動，且聽我道來。在很久很久以前（其實(shí)并不久），你登錄一個系統(tǒng)時，只需要輸入“用戶名”、“密碼”，然后“回車”就可以了，費(fèi)不了多大勁。后來，出現(xiàn)了一些不良份子（多半是因為閑得無聊），利用程序反復(fù)登錄

2、網(wǎng)站，以獲取他人密碼，或使系統(tǒng)超負(fù)荷甚至崩潰。為了應(yīng)對這樣的危機(jī)，有人發(fā)明了“驗證碼”。最常用的“驗證碼”功能，是讓用戶識別一張圖片上的數(shù)字和字母，然后將識別的結(jié)果填入一個輸入框，和其它信息一起提交給系統(tǒng)。圖片上的數(shù)字和字母就是“驗證碼”。系統(tǒng)在執(zhí)行其它操作之前，先驗證用戶輸入的“驗證碼”是否和圖片上的一致。如果不一致，則直接返回到客戶端，不進(jìn)行余下操作。直到現(xiàn)在，圖像識別技術(shù)離成熟也還有很遠(yuǎn)，對圖片上文字的識別率非常低。所以，惡意程序幾乎不可能通過圖片“驗證碼”的驗證。即使偶爾能識別一次，也不可能多次連續(xù)通過“驗證碼”的驗證。這樣，利用程序反復(fù)登錄，以獲取他人密碼的可能性幾乎等于零；而且，系

3、統(tǒng)只進(jìn)行一次“驗證碼”驗證，就將惡意登錄打回，極大地減輕了系統(tǒng)負(fù)擔(dān)。這樣，可謂一舉兩得呀！除了圖片“驗證碼”還有其它形式，這里就不多說了。但目的都是一個，就是讓人可以識別，而讓機(jī)器無法識別，以防止惡意程序的攻擊。既然“驗證碼”功能這樣好，怎么會跟“流氓軟件”聯(lián)系起來的呢？“驗證碼”功能確實(shí)好，一上陣就所相匹敵，戰(zhàn)無不勝！軟件設(shè)計人員紛紛請它來助陣，以提高他們系統(tǒng)的防御能力。于是，到如今，你登錄一個系統(tǒng)時，不只要輸入“用戶名”和“密碼”了，你還要輸入“驗證碼”?！坝脩裘焙汀懊艽a”都是你記住的，很容易輸入。而“驗證碼”是隨機(jī)的，每次你都要去識別它。“驗證碼”功能并沒有一個統(tǒng)一的標(biāo)準(zhǔn)，各個系統(tǒng)各顯

4、神通。有的加上顏色，有的加上背景圖案，有的字體大小不一，有的角度不同等等，以提高機(jī)器的識別難度。機(jī)器的識別難度是提高了，可是，人的識別難度在添加。有些“驗證碼”常常不是第一次就能識別正確，比如數(shù)字“1”和字母“l(fā)”就很難區(qū)分，有的字母大寫和小寫也很難區(qū)分。雖然有些系統(tǒng)提供刷新“驗證碼”的功能，以方便用戶選擇一個容易識別的“驗證碼”進(jìn)行識別。但是，這并沒有從本質(zhì)上解決問題，反而讓用戶進(jìn)行了更多的操作?！膀炞C碼”功能帶來的本質(zhì)問題是：每次登錄時都要多一個輸入“驗證碼”的操作，而“驗證碼”的隨機(jī)性和不易識別性，又使用輸入“驗證碼”操作本身變得愈加艱難和痛苦！“驗證碼”功能，強(qiáng)迫用戶進(jìn)行不喜歡且不必要

5、（以前就沒有）的操作，而且沒有任何選擇的余地，霸道得很。用戶雖然咬牙切齒，卻無能為力。所以，它對用戶來說，卻成了一個惡意功能。正規(guī)軟件加上惡意功能就成了“流氓軟件”。那么，前面花大段落描述了“驗證碼”功能對系統(tǒng)安全的好處，難道都是騙人的嗎？當(dāng)然不是。“驗證碼”功能的出發(fā)點(diǎn)是好的，它的本質(zhì)也是好的，只是，當(dāng)它表現(xiàn)給用戶時，選擇的表現(xiàn)形式有問題。就像“廣告”，本身并不是惡意的，只是當(dāng)它以“強(qiáng)行彈出”的形式表現(xiàn)出來就變成了惡意。有問題就應(yīng)該解決，而且早有好的案例，例如Google的登錄系統(tǒng)，就做得Very Good（不排除為Google做廣告的嫌疑）!打開Google網(wǎng)站的登錄頁面，你看不到“驗證碼”功能：當(dāng)你第一次輸入密碼錯誤時，也沒有出現(xiàn)“驗證碼”功能，只作提示：個用戶名登錄失敗后，再換另一個用戶名又登錄失敗，也會出現(xiàn)“驗證碼”功能（同上）。 在正常情況下，你登錄Google，幾乎碰不到出現(xiàn)“驗證碼”功能的情況。什么叫作“用戶體驗”這就叫“用戶體驗”，這就叫好的“用戶體驗”。以用戶為中心，不斷改善系統(tǒng)，讓用戶獲得對系統(tǒng)的良好體驗；而不是以各種借口麻痹自己，無視用戶。Google用戶登錄也有“驗證碼”功能，但它并不“流氓”。因此，我要修改在第一段落中對本文標(biāo)題的解釋：帶強(qiáng)制“驗證碼”驗證功能的軟件是“流氓軟件”