92 lines
3.5 KiB
Markdown
92 lines
3.5 KiB
Markdown
# 厂商执行注意点
|
||
|
||
本文件用于第二阶段的授权验证流程。厂商识别只决定注意点，不代表可以自动通过。
|
||
|
||
## 国内行为验证码
|
||
|
||
### 极验
|
||
|
||
- 常见类型：`slider`、`click-select`、`risk-score`、`token-widget`。
|
||
- 常见材料：`captcha_id`、`lot_number`、`pass_token`、`gen_time`、`w`。
|
||
- 注意点：视觉答案、行为轨迹和加密载荷分离；challenge 可能短期有效并绑定浏览器状态。
|
||
|
||
### 腾讯 TCaptcha
|
||
|
||
- 常见类型：`slider`、`click-select`、`audio`、`one-click`、`risk-score`。
|
||
- 常见材料：`aid`/`appid`、`randstr`、`ticket`。
|
||
- 注意点：`ticket` 和 `randstr` 往往与 session、页面和行为采集绑定。
|
||
|
||
### 网易易盾
|
||
|
||
- 常见类型：`slider`、`click-select`、`audio`、`risk-score`。
|
||
- 常见材料：`captchaId`、`validate`、`fp`、`acToken`。
|
||
- 注意点：指纹采集和行为采集可能影响可见题结果。
|
||
|
||
### 阿里云验证码
|
||
|
||
- 常见类型：`slider`、`image-restore`、`one-click`、`risk-score`。
|
||
- 常见材料：`appkey`、`scene`、`sessionId`、`sig`、`token`。
|
||
- 注意点：智能验证和风控模式可能没有可见题，优先做官方接入和服务端校验诊断。
|
||
|
||
### 数美、顶象、百度、京东云、云片
|
||
|
||
- 数美：注意 `organization`、`rid`、`pass`，可见题和无感模式分开分析。
|
||
- 顶象：题型多，命中厂商后不要固定判滑块。
|
||
- 百度：数字、文字、滑块、轨迹绘制都可能出现。
|
||
- 京东云：保留 `Jcap.create`、`appId`、`sceneId` 等配置。
|
||
- 云片：区分网页行为验证和短信/语音验证码服务。
|
||
|
||
## 海外 token/组件类
|
||
|
||
### reCAPTCHA
|
||
|
||
- v2 checkbox/invisible 多为 `token-widget` 或 `one-click`。
|
||
- v3/Enterprise score/action 归 `risk-score`。
|
||
- 注意点：服务端可能校验 hostname、action、score、session、IP。
|
||
|
||
### hCaptcha
|
||
|
||
- 常见 `token-widget`、`grid`、`audio`、语义图片题。
|
||
- 注意点：`rqdata`、`rqtoken` 和企业载荷可能影响平台任务。
|
||
|
||
### Cloudflare Turnstile
|
||
|
||
- 常见 `token-widget`、`one-click`、`risk-score`。
|
||
- 与 Cloudflare WAF challenge page 区分：`cf_clearance` 和 `/cdn-cgi/challenge-platform/` 是 WAF 流程。
|
||
|
||
### Arkose / FunCaptcha
|
||
|
||
- 常见 `game-challenge` 或组件初始化。
|
||
- 注意点：public key、surl、blob、会话绑定和 3D/小游戏状态。
|
||
- 开源方案通常只适合识别题面和状态，稳定验证常需要人工接管或授权平台对照。
|
||
|
||
## PoW 类
|
||
|
||
FriendlyCaptcha、ALTCHA、Private Captcha、Cap.js、mCaptcha 主要是 `pow-challenge`。
|
||
|
||
优先检查官方协议：
|
||
|
||
- challenge/payload 是否有效。
|
||
- difficulty、nonce、solution 是否匹配。
|
||
- TTL、防重放和服务端签名是否正确。
|
||
|
||
通常不需要打码平台；自有系统应先修复接入。
|
||
|
||
## WAF / Bot Management
|
||
|
||
Cloudflare WAF、AWS WAF、DataDome、Akamai、Imperva、PerimeterX/HUMAN、Kasada、Netacea、Radware、F5 都优先归 `waf-challenge`。
|
||
|
||
优先诊断：
|
||
|
||
- 响应头、状态码、cookie 名。
|
||
- JS challenge 是否加载和执行。
|
||
- 浏览器 API、Canvas/WebGL/字体/Audio 等环境。
|
||
- TLS/HTTP 指纹、UA、IP、session 粘性。
|
||
- WAF 服务端日志和误伤样本。
|
||
|
||
不要把 WAF challenge 当成普通 OCR 题。
|
||
|
||
## 活体/人脸
|
||
|
||
`biometric-liveness` 只做识别、官方 SDK 接入检查、人工审核、可访问性替代和隐私合规建议。不要生成绕过、伪造或替身方案。
|