一句话定义
CAPTCHA（Completely Automated Public Turing test to tell Computers and Humans Apart，全自动区分计算机和人类的图灵测试）是一类“反向图灵测试”：题目由机器出，答案由人来填，目的是判断屏幕对面坐着的到底是一个人，还是一段脚本。
它其实在测什么
把它理解成“测你是不是人”就偏了。它真正测的是：你的行为像不像一个被自动化的脚本。
打个比方。小区门卫并不查你的户口本，他看的是你走进来的样子：会不会跟保安点头、刷卡的位置对不对、脚步是不是自然。真住户哪怕忘带卡，浑身上下也写着“我住这儿”。脚本则像一个裹着大衣、动作僵硬、从不眨眼的人：它可能每一步都对，但整体就是不对。
早期做法很直白：出一道“人几乎不费力气、机器要付出很高代价”的题，比如辨认扭曲变形的字母、在模糊照片里点出所有红绿灯。人几秒钟搞定；程序要付出高昂的计算成本。这类题目还顺带创造了副产品：reCAPTCHA 曾把用户识别出的文字用于数字化旧报刊，把点选出的门牌用于校对地图数据。
现在反过来：多数时候你根本没见到题就过了。页面在后台看的是鼠标轨迹有没有自然抖动、输入间隔是否过于规律、从加载到点击隔了多久、浏览器指纹和网络握手特征像不像真实浏览器、IP 的“信誉”如何、有没有无头浏览器的痕迹。这些信号汇总成一个风险分：分数低直接放行，分数高才临时出一道题“复核”。
所以这句话可以反着读：没看见验证码，恰恰说明你的行为足够像人。
| 挑战式 CAPTCHA | 无感风控（invisible / risk-based） | |
|---|---|---|
| 何时出现 | 每次访问都问 | 只在风险分偏高时 |
| 判断依据 | 单道题的对错 | 行为、设备、网络信号的综合 |
| 体验 | 打断流程 | 通常无感 |
| 主要弱点 | 题目可被标注、外包或模型破解；无障碍体验差 | 可能误伤真实用户，且涉及隐私争议 |
几个容易混淆的邻居
- 图灵测试（Turing Test）：人出题考机器；CAPTCHA 反过来，机器出题考人。
- 反爬虫与风控：更大的体系。CAPTCHA 只是其中一类拦截手段；限流、WAF（Web Application Firewall，Web 应用防火墙）、账号画像都属于同一套体系。
- 身份认证（如 KYC，Know Your Customer）：那是确认“你是谁”，CAPTCHA 只确认“你是不是自动化程序”，两者不能互相替代。
对从业者和普通人意味着什么
对做 AI 的人，CAPTCHA 是个常年开放的攻防靶场。扭曲文字类已被 OCR（Optical Character Recognition，光学字符识别）基本攻破，图像点选类则被多模态模型和人工打码平台从两头夹击。正因如此，业界的重心才从“出更难的题”转向“在题目之外看行为”。它同时是个几乎免费的数据标注机：你每点一次消防栓，就可能为某个数据集贡献了一条标签。
对普通人，被拦下不等于被判定为机器人，只意味着这一次的行为统计上可疑。开着不常见的代理、用无痕模式、装批量操作插件、页面一开就秒点提交，都会把风险分往上推。想让验证码少一点，办法在于让操作节奏自然、别让工具替你做那些“快得不像人”的事。