行为验证码需先调用sdk的verify()获取有效ticket再提交表单，后端必须调用厂商验证接口校验三元组参数，且注意字段名、时间同步和referer/ip白名单配置。
行为验证码不是加个 script 就能防机器的
行为验证码（如腾讯云TCAPTCHA、极验 Geetest）本质是采集用户操作轨迹（鼠标移动、点击时序、拖拽加速度等），再用模型判断是否真人。它和传统验证码的核心区别在于：服务端不直接校验“图片识别结果”，而是校验客户端 SDK 生成的加密票据 ticket 和服务端验证接口返回的 success: true。很多人把行为验证码当成普通表单字段塞进 submit，结果拦截不到恶意请求，纯属白搭。
常见错误现象：
– 表单提交后，后端没收到 ticket 字段
– 前端显示“验证成功”，但后端调用验证接口返回 {"result":0,"reason":"ticket invalid"}
– 验证通过后，攻击者绕过前端直接 POST 表单数据
- 必须在表单提交前调用 SDK 的
verify()方法，拿到ticket后再触发真实提交 -
ticket是有时效性的（通常 2 分钟），不能缓存复用 - 后端必须调用厂商提供的服务端验证接口（如
https://captcha.tencentcloudapi.com），不能只检查字段是否存在
HTML 表单里怎么安全地集成 TCAPTCHA
以腾讯云 TCAPTCHA 为例，它的 SDK 不允许直接绑定到 <form></form> 的 onsubmit，因为默认会跳过验证直接提交。正确做法是禁用原生提交，手动控制流程。
- 给
<form></form>加id="loginForm"，并移除action和onsubmit - 在页面底部引入 TCAPTCHA SDK：
<script src="https://ssl.captcha.qq.com/TCaptcha.js"></script></li> <li>初始化时传入 <code>appID
和回调函数，在回调里拿到ticket和randstr，再用fetch或XMLHttpRequest提交表单数据 + 这两个字段 - 验证失败时，必须调用
tcaptcha.show()重新拉起弹窗，不能只提示“验证失败”就停住
示例关键片段：
立即学习“前端免费学习笔记（深入）”；
const tcaptcha = new TencentCaptcha('YOUR_APP_ID', (res) => {
if (res.ret === 0) {
const formData = new FormData(document.getElementById('loginForm'));
formData.append('ticket', res.ticket);
formData.append('randstr', res.randstr);
fetch('/api/login', { method: 'POST', body: formData })
.then(r => r.json())
.then(console.log);
}
});
Geetest 的 onSuccess 回调里别漏掉 getValidate()
极验 v4 SDK 的行为验证流程分两步：先 verify() 拉起验证，再在 onSuccess 回调里调用 getValidate() 获取完整验证参数。很多人只取了 geetest_challenge，漏掉 geetest_validate 和 geetest_seccode，导致后端验证失败。
-
getValidate()返回的是对象，不是字符串，要解构或点取：gtObj.getValidate().geetest_validate - v4 默认开启“无感知模式”，但首次访问或风险高时仍会弹出滑块，不能假设它永远静默
- 后端验证必须用
geetest_validate+geetest_seccode+geetest_challenge三元组，缺一不可 - 如果用户反复失败，SDK 可能降级为文字点选，此时
getValidate()依然有效，无需特殊处理
后端验证失败的三个高频原因
前端看着一切正常，但后端验证始终返回失败，大概率卡在这三处。
-
ticket或geetest_validate字段名拼错，比如写成tiket或validate—— 后端收不到就只能返回无效 - 时间不同步：TCAPTCHA 的
ticket有效期依赖客户端和服务端时间差 ≤ 5 分钟；服务器时间快/慢太多会导致签名过期 - IP 白名单或 Referer 限制没关：腾讯云控制台默认开启 Referer 校验，本地开发时
localhost被拒；Geetest 控制台也常默认开启“仅允许指定域名”
验证接口返回的错误码比提示文字更准：reason: "invalid ticket" 是票据问题，"invalid appid" 是配置错，"not found" 是请求地址写成了测试环境却用了生产密钥
