captcha - Google reCAPTCHA v2 在幕后如何工作？

Question

本文引用的是 Google ReCaptcha v2(不是最新版本)

最近，Google 推出了简化的“验证码”验证系统 ( video )，用户只需点击“验证码”即可通过它。

但是如何仅通过一次点击就能区分机器人和人呢？

根据 this answer ，(假设类似的实现)，首先“recaptcha”生成一个隐藏 key 并将其附加到隐藏的输入元素，并且还延迟渲染一个复选框(不是实际的复选框 input 而是一个 >div) 具有相同的 key ，单击该 key 后，会向 Google 后端服务器发送异步请求 (XHR)，以将其标记为有效的验证 key (即提交表单时必须验证的 key ) .

但是为什么机器人不能自动执行该点击(至少是基于浏览器的机器人)？

这如何运作？

Answer 1

这是猜测，但基于 Google 对他们使用的“风险分析引擎”的引用 ( http://googleonlinesecurity.blogspot.com/2014/12/are-you-robot-introducing-no-captcha.html )

我假设它会查看您在单击之前的行为，光标如何移动到检查(有机路径/加速)，单击复选框的哪一部分(随机位置，或每次都在中心位置) )、浏览器指纹、Google cookie 和内容、与您的指纹或帐户相关的点击位置历史记录(如果检测到)等。

以欺骗持续学习模式检测引擎的方式伪造“有机”行为是相当困难的。在不确定的情况下，它仍然会提示您匹配实际的验证码字符串。