登录后是否需要验证码？

Question

我想知道......

从webapp中的受保护点设置验证码和其他反垃圾邮件控件是没用的，不是吗？我的意思是，如果要访问您需要登录的页面，此页面无法从机器人访问。

我是对的吗？

编辑：

由于大多数人回答说，如果有人首先手动登录然后将凭据传授给机器人，那么这不是真的，我会在这里给你回答：

1. 如果有人花时间手动登录，他也可以手动登录，无需机器人。在这种情况下，所有垃圾邮件都来自只生成垃圾邮件的用户。所以很容易摆脱他的垃圾邮件。
2. 我的应用程序非常小，供内部使用，所以不太可能有人会手动发送垃圾邮件。

Answer 1

那不是真的。一旦你登录你的cookie可能会被偷走。例如，请查看firesheep。如果您的计算机受到感染（或您的语言环境中的计算机），机器人可以使用它来使用您的Cookie并通过活动登录会话执行经过身份验证的操作。

  

如果有人花时间手动登录，他也可以这样做   手动垃圾邮件，无需机器人。在所有垃圾邮件的情况下   来自仅产生垃圾邮件的用户。这样很容易搞定   摆脱他的垃圾邮件。

这不是重点，至少对我的回答是什么关注。如果您的cookie被盗，运行攻击的applesoius机器人无需登录，因为登录已经发生。机器人在这种情况下应该做的唯一事情是：

1. 监控易受攻击的计算机，直到执行登录为止。
2. 从已登录的计算机中窃取Cookie。
3. 开始发送垃圾邮件。

Answer 2

  

我是对的吗？

不一定 - 毕竟你可以教一个机器人登录，然后在里面做各种各样的破坏。

这就是为什么像Stack Overflow这样的网站仍然show a captcha，有时甚至是最值得信赖的用户。

相关的Meta.SO问题：https://meta.stackexchange.com/questions/3346/why-is-captcha-for-higher-rep-users-even-necessary

Answer 3

不，不是没用。对于真正的人类来说有点乏味，但定期检查“用户”实际上是否仍然是人类而不是机器人总是好的。毕竟，一个真正的人可能会通过登录验证码检查，然后将登录会话交给机器人，然后可以快速地将垃圾邮件发送到您的网站。站点内的定期验证码检查将停止（或至少暂停）该僵尸程序，直到其人员可以填写验证码。

Answer 4

好吧，Captcha的重点是阻止机器人进入您的网站或发表评论等。

如果机器人在你的网站内，那将意味着以下几点之一：

1. 机器人以某种方式获得了用户名和密码的访问权

2. 机器人设法在登录时通过Captcha并且还有用户名和密码

所以不，在你的网站内使用Captcha不是一个好主意，除非用户正在访问可能的安全信息，如银行详细信息等。但是当这是一个问题时，让他们重新输入他们的密码可能会更好而不是使用Captcha。