什么是 reCAPTCHA？
reCAPTCHA 是一套挑战—响应安全系统，最初由卡内基梅隆大学研发，2009 年被 Google 收购。它的主要目的是阻止自动程序——通常被称为机器人——在网络应用中提交表单、创建账号或投票，同时让真正的人类用户毫无摩擦地通过。
技术机制
Google 已发布三个主要版本的 reCAPTCHA，每一代都对合法用户的可见摩擦逐步降低。
reCAPTCHA v1 呈现的是经典的扭曲文字谜题，要求用户辨认变形字符。这一思路初期颇见成效，但最终被机器学习图像识别攻破。
reCAPTCHA v2 引入了如今熟悉的”我不是机器人”复选框。在那一次点击背后，Google 风险引擎会分析一组行为指纹：鼠标移动轨迹、点击前的按键时序、设备与浏览器属性，以及与用户 Google Cookie 关联的过往浏览历史。可疑会话还会拿到二次的图像选择挑战（例如”选出所有红绿灯”）。
reCAPTCHA v3 是 Google 当前推荐的版本，完全隐形。它在后台持续运行，返回 0.0（极可能是机器人）至 1.0（极可能是真人）之间的浮点评分。站点所有者决定何种评分阈值会触发拦截、二次挑战或附加核验。高度可信的会话无需任何用户交互。
reCAPTCHA 通常用于何处？
竞赛与投票平台会将 reCAPTCHA 部署在投票提交端点、账号注册表单，有时也加在登录页面。集成只需在页面上引入来自 google.com/recaptcha/api.js 的简短 JavaScript 片段，再把生成的令牌连同站点密钥提交至 https://www.google.com/recaptcha/api/siteverify 进行服务端校验。服务端响应包含通过/失败裁决，v3 还附带数值化的风险评分。
投票如何与 reCAPTCHA 交互
当访客在受 reCAPTCHA 保护的比赛上点击投票按钮时，组件会静默采集一份行为快照并发送至 Google 全球风险分析基础设施。响应令牌（带签名的 JWT）会附加到投票提交中。竞赛后端先调用 Google 校验 API 再记录票数。无法生成有效新鲜令牌、或令牌 v3 评分过低的机器人，其投票会被静默拒绝或标记复核。
因此购票服务必须获取有效的 reCAPTCHA 令牌才能成功提交。Google 持续更新检测模型，几个月前还行得通的方法可能随风险引擎再训练而失效。
Google 厂商情况
reCAPTCHA 在 Google 基础设施与服务条款下运营。Google 系统借助与 Google 账号关联的浏览历史与行为遥测来提升机器人检测准确度。站点所有者在 https://www.google.com/recaptcha/admin 注册自家域名，获取站点密钥与密钥对。企业客户可通过 Google Cloud 的 reCAPTCHA Enterprise 产品访问，享受附加信号、按因子拆解的评分解释以及由 SLA 兜底的可用性保障。
合规用途
除竞赛投票外，reCAPTCHA 还部署在电商结账页防撞库、评论表单防垃圾、密码重置流程防自动化盗号，以及票务平台防黄牛机器人在毫秒级抢光全部库存等场景。
反欺诈视角
从反欺诈的角度看，reCAPTCHA v3 的连续评分模型对竞赛运营方尤为有价值：它可以对每次页面浏览（而非仅在投票提交那一刻）应用风险评分。异常模式——例如同一子网在数秒内涌出数百张投票，或毫无浏览历史的会话——可在事后被标记，进而批量作废可疑投票，而不影响真实参与者的体验。
