验证码不是越复杂越好,应该在能基本区别人和计算机,但不能过于复杂。某些中文网站采用中文作为验证码,我认为这样的体验不好,首先不是每个上网的人都能或可以打中文,第二是可能会碰到某些不会打的字。
CAPTCHA不是万能的,俄罗斯的一个黑客组织使用一个自动识别软件在2006年破解了Yahoo的CAPTCHA。准确率大概是15%,但是攻击者可以每天尝试10万次,相对来说成本很低[1]。而在2008年,Google的CAPTCHA也被俄罗斯黑客所破解。攻击者使用两台不同的电脑来调整破解进程,可能是用第二台电脑学习第一台对CAPTCHA的破解,或者是对成效进行监视。