Java 驗證碼生成核心流程與實現方案：圖形驗證碼、滑塊驗證、行為分析

Java 驗證碼體系全景：從圖形干擾到無感驗證的演進之路

驗證碼是區分人機的第一道防線。本文系統梳理圖形驗證碼生成流程、滑塊拼圖驗證邏輯、行為分析無感驗證架構，提供生產級代碼骨架與安全加固建議。

一、圖形驗證碼生成標準流程

1. 參數初始化
   - 畫布尺寸 (寬×高)，字符集、字體、顏色範圍
   - 干擾元素：干擾線、噪點、幹擾圓、扭曲變換

2. 圖像緩衝創建
   BufferedImage image = new BufferedImage(width, height, BufferedImage.TYPE_INT_RGB);
   Graphics2D g = image.createGraphics();

3. 背景填充
   g.setColor(randomLightColor());
   g.fillRect(0, 0, width, height);

4. 干擾線繪製 (5-10 條)
   for (int i = 0; i < lineCount; i++) {
       g.setColor(randomColor());
       g.drawLine(randomX(), randomY(), randomX(), randomY());
   }

5. 驗證碼字符繪製 (4-6 位)
   StringBuilder code = new StringBuilder();
   for (int i = 0; i < length; i++) {
       char c = randomChar();
       code.append(c);
       g.setFont(randomFont());
       g.setColor(randomDarkColor());
       g.rotate(randomAngle(), x, y); // 字符級旋轉
       g.drawString(String.valueOf(c), x, y);
       g.rotate(-randomAngle(), x, y); // 恢復
       x += charWidth + gap;
   }

6. 干擾噪點 (可選)
   for (int i = 0; i < noiseCount; i++) {
       g.setColor(randomColor());
       g.drawRect(randomX(), randomY(), 1, 1);
   }

7. 釋放資源 & 輸出
   g.dispose();
   ImageIO.write(image, "jpeg", outputStream); // 或 PNG

8. 會話存儲
   session.setAttribute("captcha_code", code.toString().toLowerCase());
   session.setAttribute("captcha_time", System.currentTimeMillis());

二、核心工具類實現

public class CaptchaUtil {
    private static final String CHARS = "23456789ABCDEFGHJKLMNPQRSTUVWXYZ"; // 排除易混淆字符
    private static final Color[] FONT_COLORS = {Color.BLACK, Color.BLUE, Color.RED, Color.GREEN};
    private static final Font[] FONTS = {
        new Font("Arial", Font.BOLD, 24),
        new Font("Courier New", Font.BOLD | Font.ITALIC, 26),
        new Font("Verdana", Font.BOLD, 22)
    };
    
    public static BufferedImage generate(StringBuilder codeHolder, int width, int height, int length) {
        // 實現上述流程...
    }
    
    private static char randomChar() { return CHARS.charAt(random.nextInt(CHARS.length())); }
    private static Color randomColor() { return new Color(random.nextInt(200), random.nextInt(200), random.nextInt(200)); }
    private static Color randomLightColor() { return new Color(200 + random.nextInt(55), 200 + random.nextInt(55), 200 + random.nextInt(55)); }
    private static Color randomDarkColor() { return new Color(random.nextInt(100), random.nextInt(100), random.nextInt(100)); }
    private static Font randomFont() { return FONTS[random.nextInt(FONTS.length)]; }
    private static double randomAngle() { return (random.nextDouble() - 0.5) * 0.6; } // ±0.3 rad
}

三、Spring MVC / Servlet 整合控制器

@Controller
public class CaptchaController {
    @GetMapping("/captcha/image")
    public void imageCaptcha(HttpServletResponse response, HttpSession session) throws IOException {
        response.setHeader("Cache-Control", "no-store, no-cache");
        response.setContentType("image/jpeg");
        
        StringBuilder code = new StringBuilder();
        BufferedImage image = CaptchaUtil.generate(code, 120, 40, 4);
        
        session.setAttribute("captcha_code", code.toString().toLowerCase());
        session.setAttribute("captcha_time", System.currentTimeMillis());
        
        ImageIO.write(image, "JPEG", response.getOutputStream());
    }
    
    @PostMapping("/captcha/verify")
    @ResponseBody
    public Result verify(@RequestParam String input, HttpSession session) {
        String code = (String) session.getAttribute("captcha_code");
        Long time = (Long) session.getAttribute("captcha_time");
        
        if (code == null || time == null) return Result.fail("驗證碼已過期");
        if (System.currentTimeMillis() - time > 5 * 60 * 1000) return Result.fail("驗證碼已過期");
        if (!code.equals(input.toLowerCase())) return Result.fail("驗證碼錯誤");
        
        session.removeAttribute("captcha_code"); // 一次性使用
        return Result.ok();
    }
}

四、滑塊拼圖驗證 (前後端協作)

五、行為分析無感驗證架構

// 風控引擎輸入特徵
class RiskFeatures {
    // 設備指紋
    String deviceId, userAgent, screenResolution, timezone, language;
    // 行為序列
    List events; // click, scroll, mousemove, keydown, touch
    // 環境上下文
    String ip, geoLocation, isp, proxyScore;
    // 業務上下文
    String actionType, referrer, sessionId;
}

// 規則引擎 + 機器學習模型
class RiskEngine {
    public RiskResult evaluate(RiskFeatures features) {
        // 1. 規則檢查 (白名單、黑名單、頻率限制)
        // 2. 模型推理 (XGBoost/LightGBM/神經網絡) -> 風險分 0-100
        // 3. 決策邏輯
        if (score < 20) return RiskResult.PASS;           // 直通
        if (score < 60) return RiskResult.CAPTCHA;        // 彈出驗證碼
        if (score < 90) return RiskResult.SLIDER;         // 滑塊驗證
        return RiskResult.BLOCK;                          // 直接攔截
    }
}

六、安全加固清單

• 防暴力破解：IP + 設備雙維度限流 (Redis 計數器、滑動窗口)
• 防重放攻擊：驗證碼一次性失效、Token 單次使用、時間戳防重放
• 防機器識別：字符扭曲、字體隨機、干擾線密度、點擊軌跡分析 (人類抖動 vs 線性)
• 無障礙支援：提供音頻驗證碼、語音播報、簡單問答備選方案
• 監控告警：驗證通過率、人均嘗試次數、滑塊平均耗時、攔截率趨勢

七、成熟方案推薦

1. 上一篇文章： Struts 2 框架入門指南：MVC 架構、環境搭建、核心組件與約定優於配置
2. 下一篇文章： J2EE 十三大核心技術體系全景解析：JDBC、JNDI、EJB、JMS、JTA 等企業級開發基石

Java 相關知識

Hibernate 進階（六）：一對一雙向關聯映射全解析

一對一雙向關聯核心區別 與單向關聯不同，雙向關聯中雙方均持有

Java 語言核心特性深度解析：物件導向、跨平台、垃圾回收與介面機制

Java 設計目標明確：物件導向、跨平台、網絡支援、安全執行

NetBeans IDE 實戰：RESTful Web 服務開發入門指南（含 Google Maps 整合）

NetBeans IDE 內建對 JAX-RS (JSR 3

以 Eclipse RCP 打造離線優先的移動作業平台：Maestro 架構深度解析

隨著現場作業需求激增，員工愈發需要在無網絡或弱網絡環境下高效