定义
受 CAPTCHA 保护的投票是指任何要求投票者先完成 CAPTCHA 挑战、平台才会接受并计入票数的在线竞赛或投票提交。CAPTCHA 是 Completely Automated Public Turing test to tell Computers and Humans Apart 的缩写，泛指一类用于区分真人用户与自动化脚本和机器人的挑战—响应系统。
在竞赛场景中，CAPTCHA 并不取代去重逻辑。它位于去重检查的上游，作为一道筛子，先把自动化工具拦截在外，平台再去判断该票是否属于重复提交。即便投票者通过了 CAPTCHA，他们的 IP 地址或邮箱仍会与去重存储进行比对，确认无误后才会计票。
CAPTCHA 挑战的运作原理
不同 CAPTCHA 实现使用不同的挑战机制，二者的差异对投票获取有重要的实务影响：
reCAPTCHA v2 呈现出一个标注”我不是机器人”的可见复选框。点击该框会触发 Google 的风险评分后端，对此次点击的行为上下文进行评估。若风险评分较低（看起来像真人），复选框就直接打勾。若风险评分偏高，投票者将看到一道图像九宫格挑战——选出包含红绿灯、人行横道、消防栓或其他物体的所有图片。只有通过这道挑战，竞赛平台才会收到有效的 reCAPTCHA 响应令牌，再由服务端校验。
reCAPTCHA v3 在用户毫无察觉中运行——既无复选框，也无图像九宫格。它持续监控页面上的所有交互（鼠标移动、滚动模式、点击时机、互动历史），输出一个 0.0 到 1.0 之间的连续风险评分。竞赛平台设定阈值（通常为 0.5 或 0.7）；高于阈值的提交直接放行，无需任何可见挑战；低于阈值的会话则被拦截或要求附加验证。由于没有可见的谜题需要解决，v3 在缺少真人浏览器会话的情况下要顺利通过相当困难。
hCaptcha 在可见的图像选择挑战格式上与 reCAPTCHA v2 相似，但运营方为 Intuition Machines 而非 Google。它在受 Cloudflare 保护的网站上被广泛部署，因其在设计上即符合 GDPR/CCPA，不会与 Google 共享行为数据。hCaptcha 还为视障用户提供音频访问通道。
Cloudflare Turnstile 是一种 CAPTCHA 替代方案，通过后台运行的 JavaScript 环境检测来取代可见谜题。它会校验浏览器的 TLS 握手、JavaScript 执行环境与基础行为信号。绝大多数合法用户感受不到 Turnstile 的存在——它在静默中运行，并在不打断用户的情况下颁发挑战令牌。只有未通过环境检测的会话才会看到可见挑战。
Arkose Labs（FunCaptcha） 提供交互式 3D 拼图挑战——旋转物体、配对游戏、空间推理任务——专门用于挫败机器学习破解。每道谜题均由程序生成以阻止模式记忆，挑战类型也会根据会话风险评分动态调整。
受 CAPTCHA 保护的投票出现在哪里
在竞赛运营方过往遭遇过刷票，或平台默认配置已包含 CAPTCHA 的环境中，投票表单往往会被加上 CAPTCHA 保护：
像 SurveyMonkey 与 Typeform 这样的问卷类竞赛平台，将 reCAPTCHA v2 集成作为表单内置选项。部署在 Cloudflare 基础设施上的新闻与媒体网站，会自动对所有表单提交应用 Turnstile 或 hCaptcha。金融服务与金融科技品牌的竞赛通常运行 reCAPTCHA Enterprise——最高安全等级，因为他们整个平台域名都对欺诈高度敏感。Gleam、CoinMarketCap 等平台上的加密货币社区竞赛会把 hCaptcha 与 OAuth 认证叠加使用。教育与 EdTech 平台几乎清一色托管在 Cloudflare 上，所有表单提交默认都要经过 CAPTCHA。
受 CAPTCHA 保护的投票如何核验
受 CAPTCHA 保护的投票，其核验链经过多层流转。第一，CAPTCHA 挑战必须完成，并在客户端生成有效的挑战令牌。第二，竞赛平台将该令牌发送到 CAPTCHA 服务商的核验 API 进行服务端校验，确认其真实且未被使用。第三，若令牌有效，平台再进入正常的去重检查（IP 地址、邮箱或账号）。链条上任何一层拒绝，提交即告失败。
reCAPTCHA v3 还增加了一层连续行为评估：风险评分贯穿整个会话，而不只是在提交那一刻。即便携带有效令牌，若会话开端表现像真人但在投票提交阶段出现异常模式，依然可能因评分跌破阈值而被拒绝。
实际示例
某法国化妆品品牌在一个搭建于 Cloudflare 基础设施上的微站点举办照片大赛。所有表单提交都会被自动路由经过 Cloudflare Turnstile。投票者看不到任何可见挑战——Turnstile 在后台运行，并对通过环境检测的会话颁发令牌。来自无头浏览器或自动化脚本的投票则因 JavaScript 环境检测识破缺乏正当浏览器上下文而失败。
某美国地区性信用合作社举办”青年创业家”奖学金大赛，使用启用了 reCAPTCHA v2 的问卷平台。每位投票者点击复选框后，绝大多数会话还需完成一段简短的图像九宫格挑战才能记票。由于 CAPTCHA 令牌在服务端校验，向表单提交注入伪造令牌的方式行不通。
某东京动漫流媒体平台举办季度角色人气投票，对每次投票提交都启用 hCaptcha。该平台提供音频访问通道，并将票源限定在日本 IP 地址。只有同时满足 CAPTCHA 合规与地理匹配，票数方能计入。
