即使对于两个不正确的单词，reCAPTCHA 也可以验证为有效

Question

只是为了说明我的问题的背景，我正在使用Vanilla Forums 作为我运行的网站。 Vanilla Forums 内置支持使用 reCAPTCHA 来验证网站上的新注册，我已启用该功能。然而，最近在我的论坛上，我看到垃圾邮件注册量激增（明显的“垃圾邮件”用户名、使用相同的电子邮件地址等）

我对此进行了调查，试图了解垃圾邮件机器人如何通过 reCAPTCHA 验证。我知道在 reCAPTCHA 中，one of the words is known by the system and the other isn't，所以it is possible that a form submit might validate even if one incorrect word is entered。

因此，我通过输入无效的 reCAPTCHA 输入在我的网站上的注册表单上尝试了几件事。我发现...

• 如果每个单词输入的字符数正确
• 为 BOTH 字词输入的答案响应输入正确，但一个字符除外

...不会引发 reCAPTCHA 错误。

我也不认为这个问题是原版论坛所独有的。当你去demo page for reCAPTCHA时，你自己试试这个。输入两个单词，字符数正确，但单词本身相差一个字符 - 具有“相似”的字符（例如，“a”而不是“d”，“v”而不是“w”。）

Vanilla 的 reCAPTCHA 实现是否有问题，或者这是 reCAPTCHA 本身的已知问题？ （你可以test Vanilla's registration form here。）

可能相关：Has reCaptcha been cracked / hacked / OCR'd / defeated / broken?

Answer 1

只要found the answer in the reCAPTCHA wiki:

在验证字上，reCAPTCHA 故意允许“减一” 错误取决于我们信任的程度 给出解决方案的用户。这 在不增加用户体验的情况下 影响安全。重新验证码 工程师监控此功能 滥用。