CN103873432A

CN103873432A - 验证码实现方法及其系统、验证码服务端

Info

Publication number: CN103873432A
Application number: CN201210528253.7A
Authority: CN
Inventors: 刘金星; 谢远辉
Original assignee: Shenzhen Tencent Computer Systems Co Ltd
Current assignee: Shenzhen Tencent Computer Systems Co Ltd
Priority date: 2012-12-10
Filing date: 2012-12-10
Publication date: 2014-06-18

Abstract

本发明提供一种验证码实现方法及其系统、一种验证码服务端。服务端向用户端发送带有验证码字符以及验证码字符输入顺序标识的验证码数据，用户端接收所述验证码数据后显示给用户，用户可识别所述验证码字符和所述输入顺序标识，按照所述输入顺序标识记载的顺序输入验证码的各个字符，将完整的验证码返回至所述服务端。服务端接收到用户端返回的验证码后，将所述验证码与按照所述验证码字符和所述输入顺序标识得到的标准验证码比较，根据比较结果进行验证。可以降低验证码被自动机等破解软件破解的风险。并由于其提高保密性的手段无需提高验证码背景图片的复杂程度，因此能够确保用户能够正常辨识。

Description

验证码实现方法及其系统、验证码服务端

技术领域

本发明涉及互联网技术领域，特别是涉及一种验证码实现方法、一种验证码实现系统，以及一种验证码服务端。

背景技术

验证码是互联网中应用最广泛的一种自动化区分计算机和人类的测试方法，众多互联网服务系统，如论坛、邮箱、微博、投票系统等等，都通过验证码来规避或者降低常见的安全风险，如恶意注册、暴力破解密码、自动发表广告贴等等。验证码通常是由计算机程序生成一张图片，要求输入者（计算机或者操作的人）对该图片进行辨识并输入对应的答案，验证使用者的合法性。

常见的验证码有两种：

一种为所见即所得型的验证码，这种验证码就是由服务器提供的一张图片，上面有N个字符(可能是中文或英文)，要求用户识别图片上的字符并输入，把内容提交至验证码后台服务器进行验证。这种验证码的一大特点就是所见即所得，即：不需要用户进行复杂的思考，用户只需要把看到的字符原封不动输入即可，其优点是较为简便。

另一种为问答型验证码，由服务器生成一套问题和答案，并把问题部分下发给用户，让用户提交该问题的答案，后台把用户提交的答案和问题的标准答案进行比对，如果一致则校验通过，反之则校验不通过。这种验证码规避了所见即所得方式的验证码的缺点，在图片中增加了复杂的交互方式，如常规问题、简单算术题目等，利用人类和计算机的智力差别来反破解(人类可以自主思考而计算机不能)。例如，图片中显示了一条算术题为：16-12=，如果使用者在验证码输入框输入4，则为正确答案。

然而，随着互联网发展，也出现了一些对验证码进行恶意破解的程序，例如自动机程序。所谓自动机是指针对验证码进行破解的一种计算机程序，其通过使用各种图像识别技术，自动从图片中识别出对应的字符并输出相应结果，以实现对验证码的自动破解，危害互联网服务系统的安全。

对于所见即所得型的验证码，其破解难点只在于字符分割，简单无干扰的验证码对于自动机来说难度不大，破解率高。而如果为了抗破解对图片增加干扰，则难度增加，正常用户辨识度变差，严重影响使用。

而对于问答型验证码，考虑到用户的文化程度参差不齐，这种验证码的题库一般很简单，而且数量有限，题目的答案库也有限，很容易被自动机以遍历答案方式破解或者通过长期收集题库以匹配方式破解。以算术表达式为例，这类验证码多为个位数或两位数的计算公式。答案的集合总共不过上百种，这个数量级对自动机来说破解没有太大的难度。而且这类验证码的题库需要人工确认（即需要人工设定问题和对应的答案），不能全自动化生成问题和答案，比较麻烦。

发明内容

针对上述背景技术中存在的问题，本发明的目的在于提供一种验证码实现方法及其系统，其实现简单，并且可以在保障正常人辨识率的情况下，大幅降低自动机破解率。

一种验证码实现方法，包括以下步骤：

服务端生成验证码数据，并且向用户端发送所述验证码数据，其中，所述验证码数据中包含有若干个验证码字符以及所述验证码字符的输入顺序标识；

用户端接收所述验证码数据并显示所述验证码字符以及所述输入顺序标识，接收输入的验证码，并向所述服务端返回所述验证码；

服务端接收用户端返回的验证码，将所述验证码与按照所述验证码字符和所述输入顺序标识得到的标准验证码比较，根据比较结果进行验证。

一种验证码实现系统，包括服务端和用户端：

所述服务端用于生成验证码数据，并且向所述用户端发送所述验证码数据，其中，所述验证码数据中包含有若干个验证码字符以及所述验证码字符的输入顺序标识；接收所述用户端返回的验证码，将所述验证码与按照所述验证码字符和所述输入顺序标识得到的标准验证码比较，根据比较结果进行验证；

所述用户端用于接收所述验证码数据并显示所述验证码字符以及所述输入顺序标识，接收输入的验证码，并向所述服务端返回所述验证码。

本发明的验证码实现方法及其系统中，服务端向用户端发送带有验证码字符以及验证码字符输入顺序标识的验证码数据，用户端接收所述验证码数据后显示给用户，用户可识别所述验证码字符和所述输入顺序标识，按照所述输入顺序标识记载的顺序输入验证码的各个字符，将完整的验证码返回至所述服务端。服务端接收到用户端返回的验证码后，将所述验证码与按照所述验证码字符和所述输入顺序标识得到的标准验证码比较，即可验证用户输入的验证码是否正确，如果一致则判断验证码正确，否则，判断验证码不正确，以此判断是否通过验证码的验证。

由于所述验证码数据不仅记载有验证码字符，而且记载有验证码字符的输入顺序标识，因此即使自动机等破解软件能够识别各个验证码字符，由于计算机无法识别所述输入顺序标识的意义，因此也无法获得各个验证码字符的正确输入顺序，其自动破解得到的验证码是不正确的，因此可以大大降低验证码被自动机等破解软件破解的风险。并且，由于其提高保密性的手段无需提高验证码背景图片的复杂程度，因此能够确保用户能够正常辨识。

本发明的目的还在于提供一种服务器执行的验证码实现方法及对应的验证码服务端。同样具有实现简单，并且可以在保障正常人辨识率的情况下，大幅降低自动机破解率的优点。

一种验证码实现方法，包括以下步骤：

生成验证码数据，并且向用户端发送所述验证码数据，其中，所述验证码数据中包含有若干个验证码字符以及所述验证码字符的输入顺序标识；

接收用户端返回的验证码，将所述验证码与按照所述验证码字符和所述输入顺序标识得到的标准验证码比较，根据比较结果进行验证。

一种验证码服务端，包括：

验证数据生成模块，用于生成验证码数据，并且向用户端发送所述验证码数据，其中，所述验证码数据中包含有若干个验证码字符以及所述验证码字符的输入顺序标识；

验证模块，用于接收用户端返回的验证码，将所述验证码与按照所述验证码字符和所述输入顺序标识得到的标准验证码比较，根据比较结果进行验证。

本发明的上述验证码实现方法及对应的验证码服务端中，服务端向用户端发送带有验证码字符以及验证码字符输入顺序标识的验证码数据，接收到用户端返回的验证码后，将所述验证码与按照所述验证码字符和所述输入顺序标识得到的标准验证码比较，即可验证用户输入的验证码是否正确，如果一致则判断验证码正确，否则，判断验证码不正确，以此判断是否通过验证码的验证。

附图说明

图1是本发明验证码实现方法的流程示意图；

图2是本发明验证码实现方法中一个实施例中的验证码数据的构成方式示意图；

图3是本发明验证码实现方法中一个实施例中的验证码数据的构成方式示意图；

图4是本发明验证码实现方法中一个实施例中的验证码数据的构成方式示意图；

图5是本发明验证码实现系统的结构示意图；

图6是本发明的验证码服务端的结构示意图；

图7是本发明验证码实现方法及其系统的服务器架构图。

具体实施方式

请参阅图1，图1是本发明验证码实现方法的流程示意图。

所述验证码实现方法，包括以下步骤：

S101，服务端生成验证码数据，并且向用户端发送所述验证码数据，其中，所述验证码数据中包含有若干个验证码字符以及所述验证码字符的输入顺序标识；

S102，用户端接收所述验证码数据并显示所述验证码字符以及所述输入顺序标识，接收输入的验证码，并向所述服务端返回所述验证码；

S103，服务端接收用户端返回的验证码，将所述验证码与按照所述验证码字符和所述输入顺序标识得到的标准验证码比较，根据比较结果进行验证。

对于所述步骤S101，所述验证码数据包含有若干个验证码字符以及所述验证码字符的输入顺序标识，所述输入顺序标识包括：每两个所述验证码字符之间的箭头；每个所述验证码字符的输入顺序号；指示各个所述验证码字符的输入顺序的文字说明，各个所述验证码字符的颜色，以及其他可用于表示顺序的标识，或者是上述两种以上的输入顺序标识的组合；所述验证码字符包括：数字、字母、文字和符号，以及其他可以作为验证码的字符，又或者是上述两种以上的验证码字符的组合。

所述验证码字符与所述输入顺序标识以预定方式添加在验证码载体上，提示验证码的字符和各个字符的输入顺序。

优选地，所述服务端在生成所述验证码数据时，从数据库获取验证码载体、所述验证码字符以及所述输入顺序标识，将所述验证码字符以及所述输入顺序标识以预定方式添加在所述验证码载体中，生成所述验证码数据。其中，所述验证码载体包括二维或者三维的图片或动画等等可以作为验证码载体的数据体。所述预定方式可以是预先设置的排列分布规则，也可以是随机选择的排列分布方式。

对于步骤S102，用户端在接收所述验证码数据后，在用户端显示所述验证码数据，用户通过查看显示的所述验证码数据，辨识其中的所述验证码字符以及所述输入顺序标识，按照所述输入顺序标识提示的输入顺序依次输入所述验证码字符，即可输入正确的验证码。在用户输入完毕确定递交验证码之后，所述用户端将用户输入的所述验证码发送至所述服务端，由所述服务端验证用户输入的所述验证码是否正确。

对于上述步骤S103，服务端接收用户端返回的验证码后，对所述验证码进行验证。所述服务端对所述验证码验证方式为根据所述验证码数据中记载的验证码字符和输入顺序标识得到的标准验证码进行验证。在实际执行时，由于所述验证码数据是由所述服务端生成的，因此，所述标准验证码可以在生成所述验证码数据的同时获得，然后保存在所述服务端中，等待服务端接收到用户端返回的验证码后立即进行比较验证。

所述标准验证码也可以在接收到用户端返回的验证码后，再根据所述验证码数据触发对应的运算生成，此时，所述标准验证码的生成方式为：将所述验证码字符按照所述输入顺序标识记载的输入顺序进行排列，得到所述标准验证码。然后，比较用户端返回的所述验证码与所述标准验证码是否一致，根据比较结果进行验证。如果一致则判断验证码正确，否则，判断验证码不正确。

下面以二维图片作为所述验证码载体，举例说明本发明中几种较常用的验证码数据的构成方式：

第一种验证码数据如图2所示，在所述验证码图片中，所述验证码字符是不同字体（包括艺术字体）的英文字母，所述输入顺序标识为箭头，所述箭头的线条可以是虚线、实线或者点实线等等，并不限制。所述箭头设置在每两个所述英文字母之间，指示每个英文字母的输入顺序。用户查看所述验证码图片中的英文字母和箭头后，按照所述箭头指示的方向顺序输入验证码ABCD为正确的验证码，否则为不正确的验证码。

第二种验证码数据如图3所示，在所述验证码图片中，所述验证码字符是不同字体（包括艺术字体）的英文字母，所述输入顺序标识为每个所述英文字母的输入顺序号，与对应的所述英文字母紧邻设置，指示每个英文字母的输入顺序。用户查看所述验证码图片中的英文字母和顺序号，按照所述顺序号指示的顺序输入验证码ADCB为正确的验证码，否则为不正确的验证码。

第三种验证码数据如图4所示，在所述验证码图片中，所述验证码字符是不同字体（包括艺术字体）的英文字母，所述输入顺序标识为设置与所述验证码图片顶端的文字说明“请按从右到左顺序输入验证码”，指示了所述英文字母的输入顺序是从右到左输入。用户查看所述验证码图片中的英文字母和文字说明，按照所述文字说明所述的从右到左的顺序输入验证码CDBA为正确的验证码，否则为不正确的验证码。

由于本发明把用户输入顺序作为验证码的一部分下发给用户，使得用户的输入顺序与验证码上显示的字符顺序不完全一致，从而有效的降低自动机的破解率。

下面以输入顺序标识为箭头为例，说明本发明所带来的抗破解能力方面的提升效果：

假设是N位验证码（即所述验证码数据中有N个字符，字符可以重复），并且验证码图片中的字符假定都是从52种英文字母字符（大写A~Z和小写a~z）的集合中取得的。

那么，对于一张含有M种不同字符的N位验证码图片，有效的箭头顺序排列数为：

T(N,M)=P(N,M)*W(N,M)（1）

其中，P(N,M)表示含有M种不同字符的N位验证码图片出现的概率，W(N,M)表示这N位验证码加上箭头顺序后可以生成的不同的验证码数。

我们知道，从52种字母字符中取出N位（可重复，无序），总共有

种不同的情况。那么对于一张含有M种不同字符的N位验证码图片，其出现的概率可通过下面公式计算，其中(N>0,0<M<=min(N,52))：

P (N, M) = \frac{C_{52}^{M} * C_{M + (N - M) - 1}^{N - M}}{C_{52 + N - 1}^{N}} = \frac{C_{52}^{M} * C_{N - 1}^{N - M}}{C_{52 + N - 1}^{N}} - - - (2)

而这样的一张验证码图片，使用“箭头”作为输入顺序标识，潜在的有序排列数可通过下面公式计算，其中(n_i表示图片中每种字符的个数)：

W (N, M) = \frac{A_{N}^{N}}{A_{n_{1}}^{n_{1}} * A_{n_{2}}^{n_{2}} * . . . * A_{n_{M}}^{n_{M}}} = \frac{A_{N}^{N}}{Π_{i = 1}^{M} A_{n_{i}}^{n_{i}}} - - - (3)

由公式（1）、（2）、（3）可计算得出上述验证码图片得出的各种可能的验证码的结果期望值（以可用的输入顺序数的平均值表示）：

T = Σ_{k = 1}^{N} = T (N, k) = Σ_{k = 1}^{N} P (N, k) * W (N, k) = \frac{A_{N}^{N}}{C_{52 + N - 1}^{N}} * Σ_{k = 1}^{N} \frac{C_{52}^{k} * C_{N - 1}^{N - k}}{Π_{i = 1}^{k} A_{n_{i}}^{n_{i}}}

假设目前自动机破解程序能识别出图片的字符，并且识别字符准确率为30%，那么本方案设计的验证码的被破解的几率是：

当N=4时，T ≈21.5，可将被自动机破解的几率降低到原来的4.7%，即30%*4.7%=1.4%；

当N=5时，T ≈99.5，可将被自动机破解的几率降低到原来的1%，即30%*1%=0.3%。

由此可见，本发明的验证码实现方法的抗自动机破解能力比普通所见即所得验证码降低一个数量级以上。且本发明不需要基于有限的题库或者复杂的题目，对用户来说，理解的难度与普通所见即所得形式的验证码差别不大。

请参阅图5，图5是本发明验证码实现系统的结构示意图。

所述验证码实现系统，包括服务端11和用户端12：

所述服务端11用于生成验证码数据，并且向所述用户端12发送所述验证码数据，其中，所述验证码数据中包含有若干个验证码字符以及所述验证码字符的输入顺序标识；接收所述用户端12返回的验证码，将所述验证码与按照所述验证码字符和所述输入顺序标识得到的标准验证码比较，根据比较结果进行验证。

所述用户端12用于接收所述验证码数据并显示所述验证码字符以及所述输入顺序标识，接收输入的验证码，并向所述服务端11返回所述验证码。

其中，所述验证码数据包含有若干个验证码字符以及所述验证码字符的输入顺序标识，所述输入顺序标识包括：每两个所述验证码字符之间的箭头；每个所述验证码字符的输入顺序号；指示各个所述验证码字符的输入顺序的文字说明，各个所述验证码字符的颜色，以及其他可用于表示顺序的标识，或者是上述两种以上的输入顺序标识的组合；所述验证码字符包括：数字、字母、文字和符号，以及其他可以作为验证码的字符，又或者是上述两种以上的验证码字符的组合。

请参阅图6，图6是本发明的验证码服务端的结构示意图。

所述验证码服务端包括验证数据生成模块111和验证模块112；

所述验证数据生成模块111用于生成验证码数据，并且向用户端12发送所述验证码数据，其中，所述验证码数据中包含有若干个验证码字符以及所述验证码字符的输入顺序标识；

所述验证模块112用于接收用户端返回的验证码，将所述验证码与按照所述验证码字符和所述输入顺序标识得到的标准验证码比较，根据比较结果进行验证。如果一致则判断验证码正确，否则，判断验证码不正确。

优选地，所述验证数据生成模块111在生成所述验证码数据时，从数据库获取验证码载体、所述验证码字符以及所述输入顺序标识，将所述验证码字符以及所述输入顺序标识以预定方式添加在所述验证码载体中，生成所述验证码数据。其中，所述验证码载体包括二维或者三维的图片或动画等等可以作为验证码载体的数据体。所述预定方式可以是预先设置的排列分布规则，也可以是随机选择的排列分布方式。

所述用户端12在接收所述验证码数据后，显示所述验证码数据，用户通过查看显示的所述验证码数据，辨识其中的所述验证码字符以及所述输入顺序标识，按照所述输入顺序标识提示的输入顺序依次输入所述验证码字符，即可输入正确的验证码。在用户输入完毕确定递交验证码之后，所述用户端12将用户输入的所述验证码发送至所述服务端11，由所述服务端11验证用户输入的所述验证码是否正确。

所述服务端的所述验证模块112接收用户端返回的验证码后，对所述验证码进行验证。所述验证模块112对所述验证码的验证方式为根据所述验证码数据中记载的验证码字符和输入顺序标识得到的标准验证码进行验证。在实际执行时，由于所述验证码数据是由所述服务端11生成的，因此，所述标准验证码可以在生成所述验证码数据的同时获得，然后保存在所述服务端11中，等待服务端11接收到用户端12返回的验证码后立即进行比较验证，得到验证结果。

所述标准验证码也可以在接收到用户端12返回的验证码后，再根据所述验证码数据触发对应的运算生成，此时，所述标准验证码的生成方式为：将所述验证码字符按照所述输入顺序标识记载的输入顺序进行排列，得到所述标准验证码。然后，比较用户端12返回的所述验证码与所述标准验证码是否一致，根据比较结果进行验证。如果一致则判断验证码正确，否则，判断验证码不正确。

请参阅图7，本发明还提供一种实现上述验证码实现方法及其系统的服务器架构，包括Web服务器、验证服务器、规则总控服务器和素材存储服务器。

其中，所述Web服务器用于接收来自用户个人电脑、平板电脑和手机等用户端的请求，用户通过所述用户端的终端应用发起的操作请求，向所述验证服务器拉取和请求校验验证码。

所述验证服务器用于处理来自前端Web服务器的两种请求，分别是拉取验证码请求和校验验证码请求。

其中，所述验证服务器接收所述拉取验证码请求后，根据所述规则总控服务器的图片类型和生成规则，向所述素材存储服务器获取各种数据，如验证码字符的字体、图片背景等，综合生成所述验证码数据，并返回给所述前端Web服务器，所述Web服务器收到所述验证码数据之后，发送给用户端显示，并接收用户端返回的验证码向所述验证服务器发出校验验证码请求。

所述验证服务器接收所述校验验证码请求后，验证用户输入的验证码内容是否与标准验证码的答案一致，并向所述Web服务器返回验证结果，由所述Web服务器将所述验证结果发送给用户。

所述规则总控服务器用于自动或者手动配置所述验证码数据的类型，例如以箭头、标号、颜色、“自右到左”的文字说明等作为所述验证码的输入顺序标识，以及配置所述验证码数据的生成规则，例如箭头设置规则、标号设置规则、颜色设置规则等，提供给所述验证服务器进行拉取使用。

所述素材存储服务器用于保存验证码生成所需的字体、背景、前景等数据，提供给所述验证服务器拉取使用。

本发明提出了一种新的验证码方案，不提高验证码本身的辨识难度。而是在原有基础上增加简单交互，让用户按要求的字符输入顺序提交验证码，利用提交顺序的随机性有效降低破解几率。

本发明容易辨识，实现简单，不影响正常用户的识别率，基本上没有用户智力门槛或文化水平门槛的问题。

本领域普通技术人员可以理解实现上述实施方式中的全部或部分流程以及对应的系统，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各实施方式的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体（Read-OnlyMemory，ROM）或随机存储记忆体（Random Access Memory，RAM）等。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims

1.一种验证码实现方法，其特征在于，包括以下步骤：

2.如权利要求1所述的验证码实现方法，其特征在于，所述服务端生成验证码数据的步骤包括：

服务端从数据库获取验证码载体、所述验证码字符以及所述输入顺序标识，将所述验证码字符以及所述输入顺序标识以预定方式添加在所述验证码载体中，生成所述验证码数据。

3.如权利要求2所述的验证码实现方法，其特征在于：所述验证码载体包括二维或者三维的图片或动画。

4.如权利要求1至3任意一项所述的验证码实现方法，其特征在于，所述输入顺序标识包括以下一种或者两种以上的组合：

每两个所述验证码字符之间的箭头；

每个所述验证码字符的输入顺序号；

指示各个所述验证码字符的输入顺序的文字说明；

各个所述验证码字符的颜色。

5.一种验证码实现系统，其特征在于，包括服务端和用户端；

6.如权利要求5所述的验证码实现系统，其特征在于，所述服务端包括：

验证数据生成模块，用于从数据库获取验证码载体、所述验证码字符以及所述输入顺序标识，将所述验证码字符以及所述输入顺序标识以预定方式添加在所述验证码载体中，生成所述验证码数据。

7.如权利要求6所述的验证码实现系统，其特征在于：所述验证码载体包括二维或者三维的图片或动画。

8.如权利要求5至7任意一项所述的验证码实现系统，其特征在于，所述输入顺序标识包括以下一种或者两种以上的组合：

每两个所述验证码字符之间的箭头；

每个所述验证码字符的输入顺序号；

指示各个所述验证码字符的输入顺序的文字说明；

各个所述验证码字符的颜色。

9.一种验证码实现方法，其特征在于，包括以下步骤：

10.如权利要求9所述的验证码实现方法，其特征在于，生成验证码数据的步骤包括：

从数据库获取验证码载体、所述验证码字符以及所述输入顺序标识，将所述验证码字符以及所述输入顺序标识以预定方式添加在所述验证码载体中，生成所述验证码数据。

11.如权利要求10所述的验证码实现方法，其特征在于：所述验证码载体包括二维或者三维的图片或动画。

12.如权利要求9至11任意一项所述的验证码实现方法，其特征在于，所述输入顺序标识包括以下的一种或多种：

每两个所述验证码字符之间的箭头；

每个所述验证码字符的输入顺序号；

指示各个所述验证码字符的输入顺序的文字说明；

各个所述验证码字符的颜色。

13.一种验证码服务端，其特征在于，包括：

14.如权利要求13所述的验证码服务端，其特征在于：所述验证数据生成模块从数据库获取验证码载体、所述验证码字符以及所述输入顺序标识，将所述验证码字符以及所述输入顺序标识以预定方式添加在所述验证码载体中，生成所述验证码数据。

15.如权利要求14所述的验证码服务端，其特征在于：所述验证码载体包括二维或者三维的图片或动画。

16.如权利要求13至15中任意一项所述的验证码服务端，其特征在于，所述输入顺序标识包括以下的一种或多种：

每两个所述验证码字符之间的箭头；

每个所述验证码字符的输入顺序号；

指示各个所述验证码字符的输入顺序的文字说明；

各个所述验证码字符的颜色。