captcha - 防止验证码的暴力破解

Question

我的网站使用 6 位数字的验证码，但是如果攻击者尝试所有组合，他很可能会成功提交表格分数的次数。(理论上是 1/百万，自从我使用随机数生成器以来，在实践中更多不是真正随机的)。
反正我有办法进一步阻止他得逞吗？一种方法是在一定次数的尝试(例如 20)之后阻止任何人提交表单 5 分钟，问题是如果我在 session 中存储尝试次数，并且攻击者为每次尝试创建一个 session (自然是因为他使用的是程序，而不是浏览器)，那么它就无法工作。而且我不想修改现有的数据库模式来适应这种逻辑。
另一种方法是增加验证码的使用数量，这给用户带来了不便。
欢迎所有建议。

Answer 1

每次尝试后，或 x 次尝试后重新生成一个新数字 =D