新浪微博登录时，只有输对密码后才需要输入验证码，是不是不好的设计？
登录时，输入完后，就可以直接点“登录”了，不需要；只有输对了密码，才会被要求输入验证码；而输错了密码，再继续输入密码登录，却不需要验证码。
从防止 robot 破解密码的角度来看，我的疑问如下：
(1) 输对了密码，此时再输入验证码，意义何在？此时，攻击者可以手输入验证码，然后就可以登录了吧？
(2) 输错了密码，再次输入密码登录，仍然不需要验码。如何防止 robot 反复重试？
测试环境：
Fedora 15 下 Chrome 16.0.912.63 和 Firefox 12.0
【的回答(6票)】:
列位，在那里设置验证码的意义不在于安全方面。而是在于服务器性能的利用方面。
如果按照之前的设定方法，每刷新一次页面，服务器从接到请求开始，就需要为这个请求配置一个验证码。
做过网站验证码的人都知道。验证码的生成过程是：由服务器先生成一组随机字符串；
由字符串生成一个临时图片，jpg或者png格式，大小为1Kb上下；再经过网络，将字符串传给用户；即便是图片大小仅有1Kb左右，但如果是大量生成，也会对服务器的性能造成很大的影响。
设想，如果有人利用僵尸网络大量、频繁地刷新验证码，那么肯定会影响服务器的正常功能。但如果先验证用户身份，再发出验证码请求，那么至少服务器知道是哪个用户在捣乱，这样屏蔽掉这个用户，就达到了防止刷验证码的恶意操作了。
【庄表伟的回答(4票)】:
@郑维 的说法，是不正确的。
从吃性能的角度来说，做一次密码比对，比生成一张验证图片，要更加消耗计算能力。
另外，如果要通过请求服务器，反复生成验证码，我可以直接请求那个图片的URL，每次他都会返回给我一个新的。
比如访问：
如果要攻击的话，直接反复攻击这个就好。不必每次去试密码。
再者，现在的新浪微博登录，会先在浏览器里利用JS，做一次客户端密码加密后，再送到服务器端验证的。从这个角度来说，简单的网络登录攻击，很难奏效。
另外，可以补充一点历史知识。原来的新浪微博，并没有这么复杂的输入验证码的过程。去年因为大量的密码泄漏，新浪微博规避密码泄漏的风险，才提示用户，加上这一登录限制。用户依然可以在设置-帐号安全-登录保护一栏，手动的将某些地点，设置为不需要填写验证码的情况。
不过，现在的这是，居然是以城市为单位，倒是有些令人惊讶。
个人认为，新浪加上这样的一个登录后再填验证码的设计，是一个权宜之计，并非深思熟虑后的结果。在实际使用上，也是增添了麻烦，而未必增加了安全。当然，给用户一种心安的感觉，倒是有的。
【薛輝揚的回答(1票)】:
有類似經歷。
一开始以為是防盜號設置，按微博說的設置登入地點就沒有問題了。
但偏偏我的登入地點不在微博提供的列表裏面……那一瞬間俺震驚了。
但這不是重點。
重點是改用Chrome后加記住密碼，再也沒輸過驗證碼了。
之前的瀏覽器記住了一樣要重新輸驗證甚至密碼。
【喜馒头的回答(0票)】:
具体原因 @郑维 已经介绍得比较充分了，针对问题中的“不好的设计”说一点个人见解。
设计更多的是权衡的结果，每一项成果都是多个环节多次角力后的综合产出。
单纯看验证码的话，的确是一项不好的设计，但这种不好的设计能换取另外一些好的特性，而代价是使用时的一些不便，那么在没有更好方案出现之前，这种设计就是合理的。
《设计的法则》[1]一书中提到一个词，“满足即可”。[2]
满足主义者寻找到一个能使用的方法时，就不再继续努力；
完美主义者必须寻遍所有可能后，再决定使用哪种方法。
现实中的设计，通常要在两个极端之中选一个合适的度，不过多投入，但也不过少推敲。
[1]：《设计的法则》（大陆版100条），作者William Lidwell & Kritina Holden & Jill Butler，李婵 译
[2]：《人类的模型(Models of Man)》，作者Herbert A.Simon
【王昕的回答(0票)】:
我在输入密码之后下意识的敲回车，这时候提示我“验证码不正确”，多么不爽！
【郭笑的回答(0票)】:
不符合人性，根本就是要改掉，没得说
【bombless的回答(0票)】:
这种情况下的验证码是为了避免机器登录，也就是避免你为自动程序注册帐号，以后让自动程序去做一些事。
至于暴力破解密码，这个不管有没有验证码，情形都是相同的，并没有引入新的漏洞。
【侯鹏飞的回答(0票)】:
太有问题了，该填的填完、点登录后竟然还有步骤，灭绝人性啊。
&&&&&本文固定链接:
【上一篇】
【下一篇】
您可能还会对这些文章感兴趣！
最新日志热评日志随机日志森动价：?799
商品编号：4386
原价：?880
可用代金券： ?50
评　　价：
64分1661 次浏览
本产品由 深圳易推科技有限公司 负责发货并提供售后服务！森动网提供15天担保交易并全程管控, 保障双方权益！
卖家:深圳易推科技有限公司
工作:8:30-21:30}