答案：Python网页验证码可通过Pillow生成图形验证码或集成Google reCAPTCHA实现。1. 使用Pillow生成带噪点的图像验证码，将文本存入session校验；2. 推荐生产环境使用reCAPTCHA，前端获取token后端调用API验证；3. 安全实践包括验证码一次性、设有效期、防OCR和限流；4. 替代方案有滑动验证码、短信/邮箱验证码等。
在Python网页版中实现验证码功能，主要是为了防止机器人自动提交表单、注册或登录等行为。常见的做法是使用图形验证码（Image CAPTCHA）或更现代的安全验证方式如reCAPTCHA。下面介绍几种主流且实用的方法。
1. 使用Pillow生成图形验证码
Python中的 Pillow 库可以用来动态生成图像验证码。这种方式适合小型项目或内部系统。
步骤如下：
- 安装依赖：pip install pillow
- 生成随机字符串（4-6位字母数字组合）
- 将字符串绘制到图片上，加入干扰线、噪点增强安全性
- 将验证码文本存入session或缓存，用于后续校验
- 通过Flask或Django返回图片流
示例代码（Flask + Pillow）：
立即学习“Python免费学习笔记（深入）”；
from flask import Flask, session, request, render_template
from PIL import Image, ImageDraw, ImageFont
import random
import io
import base64
<p>app = Flask(<strong>name</strong>)
app.secret_key = 'your_secret_key'</p><p>def generate_captcha():
text = ''.join(random.choices('ABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789', k=4))
session['captcha'] = text # 存入session
img = Image.new('RGB', (120, 50), color=(255, 255, 255))
d = ImageDraw.Draw(img)
font = ImageFont.load_default()</p><pre class='brush:python;toolbar:false;'>for i in range(20): # 添加噪点
x = random.randint(0, 119)
y = random.randint(0, 49)
d.point((x, y), fill=(0, 0, 0))
d.text((10, 10), text, fill=(0, 0, 0), font=font) # 绘制文字
buf = io.BytesIO()
img.save(buf, 'PNG')
img_str = base64.b64encode(buf.getvalue()).decode()
return img_str@app.route('/captcha') def captcha(): img_data = generate_captcha() return {'image': f'data:image/png;base64,{img_data}'}
@app.route('/check', methods=['POST']) def check_captcha(): user_input = request.form['text'] if user_input == session.get('captcha'): return '验证成功' else: return '验证失败'
2. 集成Google reCAPTCHA（推荐用于生产环境）
reCAPTCHA 是 Google 提供的免费安全验证服务，识别机器流量更准确，用户体验更好。
支持类型：
- reCAPTCHA v2（“我不是机器人”复选框或图片挑战）
- reCAPTCHA v3（无感验证，后台评分）
集成方法：
- 访问 reCAPTCHA官网 注册站点，获取 site key 和 secret key
- 前端引入reCAPTCHA JS并渲染组件
- 提交表单时，前端获取 token
- 后端调用 Google 验证接口校验 token
后端验证示例（Python requests）：
import requests
<p>def verify_recaptcha(token, secret_key):
url = "<a href="https://www.php.cn/link/f6e868a7d51f67a210dc306357c6e525/api/siteverify">https://www.php.cn/link/f6e868a7d51f67a210dc306357c6e525/api/siteverify</a>"
payload = {'secret': secret_key, 'response': token}
response = requests.post(url, data=payload)
result = response.json()
return result.get('success', False)</p>3. 安全建议与最佳实践
验证码不仅仅是生成一张图，还需注意整体安全性：
- 验证码文本不应出现在HTML源码或响应体中，应仅通过session或缓存保存
- 每个验证码只能使用一次，验证后立即失效
- 设置有效时间（如5分钟），防止重放攻击
- 避免使用简单算法或固定字体，防止OCR识别
- 对频繁请求进行限流，防止暴力破解
4. 其他替代方案
除了图形验证码，还可以考虑：
- 滑动验证码：通过前端行为判断是否为人类操作（如缺口匹配）
- 短信/邮箱验证码：结合手机号或邮箱发送一次性密码
- Honeypot技术：隐藏表单项，机器人会填写而人类不会
- 行为分析 + Token机制：记录用户点击、移动轨迹等特征
基本上就这些。对于普通项目，Pillow生成图形验证码足够；面向公众的服务建议使用reCAPTCHA等成熟方案，省事又安全。
