热腾腾的圆形验证码刚出锅，欢迎拍砖 http://gowithwind.github.io/blog/index.html?yuan

[gowithwind]

目前只用chrome开发测试。由于只是在做概念验证，其他浏览器请见谅。

一个解锁交互方案：
https://cloud.githubusercontent.com/assets/2367339/4613545/d4a48614-52d6-11e4-9f87-908beef021ec.png

[rock_cloud]

出于对用户的误差的容忍，应该是有一个允许的范围范围吧？如果纯随机去猜这个验证码，范围大小/2pi就是才对的概率，而且我觉得这个概率应该不小。

[kaizixyz]

@procen424 快来~

[zhujinliang]

感觉如果用程序识别的话，尝试每个角度，正确的位置应该是沿Y轴扫描对比度差别不大，但沿X轴扫有明显对比度变化的角度

我不是搞图形识别的，随便猜的

[akfish]

其实那篇论文主要的核心是图片库的自动获取，预先就要排除机器容易识别朝上方向的图片，安全性大多来源于这一步。
原论文里最后还提到，可以使用N张图片，显示提示要求用户旋转M（M<N）张图片，再加上每次旋转角度随机化，基本上无法猜解爆破。

[gowithwind]

@akfish 旋转几张图片会太累吧，当然加强防御的时候可以增加。平时也可以放简单的图片，只要没有识别规律即可。

[gowithwind]

@zhujinliang 这个很难吧，不是一般性规律。

[ayang23]

简单的人脸检测即可爆菊

[gowithwind]

@rock_cloud 这个要看具体情况，平时可以放放水。单纯靠验证码是不能解决所有问题的。

[akfish]

@gowithwind 旋转的用户友好程度完全取决于交互设计。
这个验证码其实特别适合移动平台，触控操作极其方便，转10张都比弹个虚拟键盘输入英文数字混合的验证码方便。

[rock_cloud]

@gowithwind 还有一个问题，就是传送大量图片的代价其实也挺大的，不知道能不能用这点提高服务器负载？

[gowithwind]

@rock_cloud 如果不识别图像，只是碰运气，其实不会下载图片的。对于暴力攻击，可以封ip，或者祭出反人类的验证码。

[yxzblue]

差！拉快了会失去响应，连这都没测，就放出来，太心急

[gowithwind]

@yxzblue 其实是因为对javascript事件不太会哈，也不想用现成的jquery库，会加强学习

[qiongqi]

我见过很多spam都是有n多ip暴力攻击的

[alioth310]

firefox下js没有起作用，始终显示“degree:0,result:”

[gowithwind]

@qiongqi 这个主要是提高人类用户的体验，针对spam可以提高防御级别，错误次数限定。

[loniper]

没看明白，是拖动滑块来使下面的图像朝上显示么？那做个自动拖动滑块的插件再检测result结果不就可以了？

[gowithwind]

@alioth310 没装firefox，我去装个，修改bug。目前应该不支持移动浏览器，因为没支持touch事件。

[gowithwind]

@alioth310 修好了，原来是textcontent才有效。谢谢。

[bydmm]

我以前破过一个，直接暴力试一遍。

[zixincao]

@ayang23 头像只是用来辅助的，这个人脸识别怎么破？

[gjflsl]

不是所有浏览器都支持，safari不支持

[icylogic]

脑洞一下: 题目可以有一种类型是将一个汉字中独立的一部分做成旋转验证, 比如一个国字, 初始把中间的玉随便转个角度......

继续脑洞: 一个随意形状的纯色图片中, 随机渲染一部分为特殊颜色, 然后一个小点随机在这个图片各个位置出现并停留一小段时间, 要求在这个小点在特殊区域内停留时, 只需点击整张图片, 进行验证.

假如线度比为1:20, 那面积比就是1:400, 随机暴力 100 次中 1 次都没答对的概率是 78%, 而且可以控制每几次跳转小点才能跳到特殊区域中, 进一步降低暴力概率 (而且暴力这么多次早该封了吧...)

[Cee]

safari不支持+1

[gowithwind]

@icylogic
赞脑洞！
关于汉字，是有很多种变化(字体，拆分，何必等)可做，不过不适合国外的情况。

第2个貌似机器是可以做到检测的，因为规则是一定的，有特异性存在。

[icylogic]

@gowithwind 嗯。。。英文的话不管怎么转识别都很容易。。。

规则的话，我不太了解这块，但逆向随机算法很容易嘛？。。

[gowithwind]

@icylogic
对你的方法还不太理解，如果这个随机是在浏览器本地执行，那么机器可以完全控制住。如果实在服务器端，机器也肯定有足够的时间找到特异区域，人的速度不可能赶上。

因此要困住机器，其实是要提高识别图片的难度。字符识别，是最简单的识别了。更多的可以有人脸识别，物体识别，物体朝向识别，表情识别等。这其中图像方向应该是最容易交互的。

[weyou]

分分钟破解， 程序控制滑块从头拉到尾， 检查result是否“success”

[gowithwind]

@weyou 实际运行的时候，应该是在停顿的时候，向后台验证，只有2-3次机会最多。这里只是模拟。

[doun]

图片库是个问题，如果库太小，客户端解决方向问题后容易被破解

[weyou]

@gowithwind 恩，停顿的时候验证， 不通过就换张图片， 这样倒是真的可以。

[xpol]

太有意思了。