网站运营者经常面临一个棘手问题：那些频率不高、但明显带有恶意的请求，比如每隔几分钟尝试一次撞库、低频但持续的内容爬取、或是慢速的漏洞探测。传统的CC防护和静态验证码往往对此束手无策：CC防护主要针对高频攻击，而简单的验证码又容易误伤正常用户或被打码平台破解。真正的解决之道，在于将动态验证码与用户行为评分系统深度结合，构建一个智能的、自适应的低频恶意请求拦截体系。
一、 为何传统手段对低频恶意请求失效？
首先，基于阈值的CC防护规则（如每分钟请求超过100次则拦截）对低频攻击天然无效。攻击者只需将请求频率降低到阈值之下，就能轻松绕过。其次，全程启用静态验证码会严重破坏正常用户体验，得不偿失。而固定频率的验证码弹出（比如每访问5个页面弹一次）又显得刻板，攻击者可以轻易识别并规避，甚至利用这一规律进行骚扰。
二、 核心武器：动态验证码触发机制
动态验证码的核心是“不确定性”。它的触发不再基于固定频率，而是依赖于一套实时计算的行为评分系统。系统不会轻易弹出验证码，只有当某个会话或IP地址的行为评分超过风险阈值时，验证码才会作为一种“温和的挑战”被触发。这意味着，对于绝大多数正常用户而言，他们可能永远看不到验证码；而对于行为异常的低频请求者，验证码会在其最意想不到的时刻出现。
三、 行为评分系统：如何给每一次请求“打分”？
行为评分系统是这套组合拳的大脑。它实时分析每一次请求背后的多维信号，为会话或用户计算一个动态的风险分数。关键的评分维度包括：
1. 请求特征：访问的URL是否敏感（如登录接口、admin路径）、HTTP方法是否异常（对只读页面频繁POST）、参数是否畸形或包含攻击特征；
2. 行为序列：操作顺序是否符合人类习惯（例如，正常用户是先访问首页再登录，而撞库攻击可能直接、低频地请求登录接口）；
3. 客户端指纹：浏览器类型、屏幕分辨率、时区、字体列表等是否与声称的一致，是否存在自动化工具特征；
4. 网络与访问模式：请求间隔是否规律得像机器（极低的时间偏差）、IP地址的地理位置与用户声称的位置是否匹配、IP是否来自已知的数据中心或代理池。
这些信号会被赋予不同的权重，并通过机器学习模型或规则引擎进行实时聚合，最终产生一个动态风险分。例如：
// 简化的评分逻辑示例（伪代码）
function calculateRiskScore(session) {
let score = 0;
// 检查请求频率模式（低频率但高度规律）
if (isTooRegular(session.requestTimestamps)) {
score += 25;
}
// 检查是否直接访问敏感接口
if (isSensitiveEndpoint(session.currentUrl) && !session.hasVisitedHomepage) {
score += 30;
}
// 检查客户端指纹异常
if (hasSuspiciousBrowserFingerprint(session.userAgent, session.plugins)) {
score += 20;
}
// IP信誉检查
if (isIPFromDatacenter(session.ipAddress)) {
score += 25;
}
return score;
}四、 动态验证码与行为评分的联动拦截流程
当行为评分系统识别出低频异常时，拦截流程开始启动：
1. 实时评分与决策：用户的一次“低频”登录失败请求，由于结合了IP来自数据中心、客户端指纹缺失部分信息、且直接访问登录页面，综合评分达到65（假设阈值是60）；
2. 无声的挑战：系统不会直接拒绝请求，而是允许这次登录尝试继续进行（避免让攻击者立刻知道触发规则）。但在同一会话的下一次请求时（无论请求哪个页面），无缝插入一个动态验证码挑战。验证码类型可以是拼图、点选、推理题等，优先选择对抗打码平台能力强的类型；
3. 验证结果反馈与评分更新：如果用户正确通过验证，其行为风险分会被大幅降低，并在接下来的一段时间内被“信任”，免于挑战。这保障了正常用户的流畅体验。如果验证失败或超时，该会话的风险分将急剧升高，后续请求可能直接面临更严格的封锁，如要求二次验证甚至直接拒绝访问。
五、 策略优势与独特价值
这种结合策略带来了多重优势：首先是高精度拦截。它能够精准识别出那些“形迹可疑”的低频请求，而非依赖粗暴的频率一刀切。其次是优异的用户体验。对正常用户透明无感，只针对可疑行为进行最小必要的干预。再者是强大的自适应对抗能力。攻击者难以摸清验证码触发的具体规律，因为规则是动态、多维的。即使攻击者短期内通过了验证码，其整体的高风险评分也会持续一段时间，引发后续的监控或挑战，大幅提高其攻击成本。最后，它为安全运营提供了深度洞察。行为评分日志本身就是一份高质量的安全分析数据源，可以帮助发现新的攻击模式，并持续优化评分模型。
六、 实施要点与最佳实践
要成功部署这一方案，需注意几个关键点：
1. 数据收集的合规性：在收集客户端指纹等数据时，必须遵循相关法律法规，通过隐私政策告知用户并获得必要同意；
2. 阈值与策略的调优：初始的行为评分阈值应设置得相对宽松，避免误封。通过一段时间的学习和观察，结合业务实际情况（如促销期间流量模式变化）逐步优化评分权重和阈值；
3. 验证码的用户体验平衡：动态验证码的难度和类型应可配置。对于风险分略高于阈值的请求，可以使用更简单的验证码（如短信验证码）；对于风险分极高的，则使用更复杂的交互式验证；
4. 与现有安全设施集成：行为评分系统应能与WAF、防火墙、日志分析平台联动，形成一体化的防御体系。例如，当某个IP的行为评分持续极高时，可以自动在WAF层面添加一条临时拦截规则。
七、 未来展望：走向无感智能风控
动态验证码与行为评分的结合，代表了安全防护从“静态规则”走向“动态智能”的趋势。未来的发展方向是进一步降低对显式验证码的依赖，向着更无感的风控演进。例如，对于风险分处于“灰色地带”的请求，系统可以采用“隐身挑战”技术，在不弹出验证码的情况下，通过JavaScript计算客户端环境的真实性，或引入短暂的网络延迟来干扰自动化脚本，同时几乎不影响真人用户。通过持续的行为学习，系统将能更精准地区分恶意机器、善意机器人（如搜索引擎爬虫）和真实人类，实现安全与体验的极致平衡。
总而言之，面对日益狡猾的低频恶意请求，将动态验证码作为“执行器”，行为评分作为“决策大脑”，两者深度结合，构建了一个灵活、智能且用户友好的主动防御层。这不仅是技术方案的升级，更是安全理念从“被动堵截”到“主动管理与威慑”的重要转变。
