### 01 前言
針對KgCaptcha驗證碼，當使用者點選完成驗證，系統進行風險評估，根據風險程度進行驗證，並返回結果。下面是我對前/後端驗證的分析。

![](http://img.blog.itpub.net/blog/2023/04/19/cf902310d0fe972a.png?x-oss-process=style/bb)

### 02 程式碼接入
**HTML程式碼**

```
<div></div>
<div id="captchaBox">載入中 ...</div>
```

**PHP程式碼**
```
<?php include="" "public/KgCaptchaSDK.php";=""/> 填寫你的 AppId，在應用管理中獲取
$appId = "xxx";
// 填寫你的 AppSecret，在應用管理中獲取
$appSecret = "xxx";
$request = new kgCaptcha($appId, $appSecret);
// 填寫應用服務域名，在應用管理中獲取
$request->appCdn = "https://cdn.kgcaptcha.com";
// 前端驗證成功後頒發的 token，有效期為兩分鐘
$request->token = $_POST["kgCaptchaToken"];
// 當安全策略中的防控等級為3時必須填寫
$request->userId = "kgCaptchaDemo";
// 請求超時時間，秒
$request->connectTimeout = 10;
$requestResult = $request->sendRequest();
if ($requestResult->code === 0) {
    // 驗籤成功邏輯處理
    echo "驗證透過";
} else {
    // 驗籤失敗邏輯處理
    echo "驗證失敗，錯誤程式碼：{$requestResult->code}， 錯誤資訊：{$requestResult->msg}";
}
```

### 03 驗證/驗籤分析
**時間監測**

1. 頁面載入離當前時間超過20分鐘，有可能客戶端時間不正確
2. 第一次點選和最後一次點時時間過長，秒
3. 第一次點選和最後一次點時時間過快，秒

```
if self.auth.data["level"] > 1 and self.POST["type"] not in (10, 11, 12, 13, 14, 15):  # 風控等級，字型識別和空間推理單次點選不檢測間隔時間
    inter = (5, 0.1) if self.POST["type"] in (1, 2) else (12, 0.2)  # 設定拼圖/文字點選兩種不同型別間隔時間
    if abs(self.POST["load"] - self.kg["RUN_TIME"][3]) > self.timeout:  # 超時時間，JS載入時間離當時時間，秒
        return self.r_code(code=30003)
    if abs(self.POST["end"] - self.POST["start"]) > inter[0]:
        return self.r_code(code=30004)
    if abs(self.POST["end"] - self.POST["start"]) < inter[1]:
        return self.r_code(code=30005)
```

**來路域名檢測**

```
if not self.kg["HTTP_REFERER"]: return self.r_code(30006)  # 域名不合法，無法獲取來路域名
if not self.auth.domain_auth(): return self.r_code(30007)  # 來源域名未授權
```

**驗證次數限制檢測**

```
excess = self.auth.excess(1)
    if excess:
        return self.r_code(code=[30016, 30017, 30018][excess - 1])
```

**應用有效時間檢測**

```
 validity = self.auth.app_validity()
    if validity[0] == 1: return self.r_code(30009)  # 授權未開始
    if validity[0] == 2: return self.r_code(30010)  # 授權已結束

if self.auth.app_state(): return self.r_code(30011)  # 當前應用/域名被禁用
```

**客戶端IP地址**

```
if not is_ip(self.kg["HTTP_ADDR"]): return self.r_code(30012)  # 無法獲取IP地址
    ip_list = self.auth.ip_list()
    if ip_list == 1: return self.r_code(30013)  # 黑名單
    if ip_list == 2: return self.r_code(30014)  # 非白名單
```

**使用者在X分鐘內錯誤記錄數超過n條**

```
if self.auth.data["level"] > 0:
    if not self.auth.risk(): return self.r_code(30015)  # x 分鐘內超過 n 條錯誤記錄
```

### 04 最後
SDK開源地址：[KgCaptcha (KgCaptcha) · GitHub](https://github.com/KgCaptcha "KgCaptcha (KgCaptcha) · GitHub")，順便做了一個演示：[凱格行為驗證碼線上體驗](https://www.kgcaptcha.com/demo/ "凱格行為驗證碼線上體驗")

KgCaptcha驗證的那些事

相關文章