Cap：基于工作量证明的轻量级开源验证码解决方案

引言：验证码的演进与挑战

在当今互联网环境中，验证码（CAPTCHA）作为区分人类用户与自动化机器人的关键技术，面临着三重挑战：用户体验的流畅性、隐私保护的合规性以及对抗AI的有效性。传统验证码方案如reCAPTCHA或hCaptcha虽然广泛应用，却因体积庞大（平均300-400KB）、依赖用户行为追踪、复杂的图像识别等问题饱受诟病。

Cap应运而生——一个基于SHA-256工作量证明（Proof-of-Work）机制的开源验证系统。它以12KB的超轻量级体积（比hCaptcha小250倍）、零数据追踪的隐私设计、以及优雅的数学验证逻辑，重新定义了人机验证的技术路径。

关键创新：用计算复杂性替代行为分析，让机器付出真实算力成本，同时保持人类用户的顺畅体验。

技术架构解析：Cap如何工作

核心运行原理

Cap的验证流程建立在密码学基础之上：

1. 挑战生成：服务端生成随机字符串+难度系数
2. 工作量证明：客户端寻找特定Nonce值，使SHA-256(字符串+Nonce)符合难度要求
3. 验证提交：客户端提交Nonce值而非原始数据
4. 服务端验证：用1ms级耗时验证Nonce有效性

graph LR
A[客户端请求] --> B[服务端生成挑战]
B --> C[客户端计算Nonce]
C --> D[提交Nonce验证]
D --> E{验证通过？}
E -->|是| F[执行操作]
E -->|否| G[拒绝请求]

模块化设计

Cap采用微内核架构，各模块可独立使用：

六大核心优势解析

1. 极致轻量与性能

• 12KB压缩体积（含Brotli压缩）
• Web Worker并行计算：不阻塞主线程
• WASM加速模块：@cap.js/wasm提供Rust级性能

2. 隐私保护设计

• 零数据收集：无需用户行为画像
• 零第三方请求：所有计算在本地完成
• GDPR/CCPA原生合规：无个人数据处理

3. 灵活部署方案

# 前端集成 (CDN方式)
<script src="https://unpkg.com/@cap.js/widget/dist/cap.umd.js"></script>

# 服务端安装 (Node.js)
npm install @cap.js/server

# Docker独立部署
docker run -p 3000:3000 capjs/standalone

4. 多样交互模式

• 浮动模式：非侵入式侧边栏
• 隐形模式：后台静默计算
• 检查点中间件：Cloudflare式拦截体验

  // Express中间件示例
  app.use(require('@cap.js/checkpoint-express')())
  

5. 企业级定制能力

• CSS变量主题控制：

  :root {
    --cap-primary: #2563eb;
    --cap-border-radius: 8px;
  }
  

• 自主托管服务端：完全掌控验证逻辑
• 难度动态调节：根据流量自动调整算力要求

6. 对抗自动化攻击

• 经济层防御：迫使机器人付出真实算力成本
• 动态盐值：每次请求唯一挑战字符串
• 时效性约束：5分钟内有效防重放攻击

技术对比：Cap与传统方案

从技术指标看Cap的创新突破：

典型案例：电商网站支付环节使用Cap后，验证步骤放弃率从18%降至3.2%

四类典型应用场景

场景1：API反爬虫防护

// 中间件验证示例 (Hono框架)
app.post('/api', async (c) => {
  const { nonce, challenge } = await c.req.json()
  const isValid = await verifyChallenge(challenge, nonce)
  
  if (!isValid) return c.text('Invalid CAPTCHA', 403)
  // 执行核心业务逻辑
})

场景2：高并发注册防滥用

• 动态难度调节：根据IP信誉自动调整算力要求
• 无感验证：用户输入密码时后台完成计算

场景3：免费服务资源保护

• 结合令牌桶算法：每10次API请求触发1次验证
• 替代传统速率限制，减少误伤真实用户

场景4：替代Cloudflare挑战页

• 使用检查点中间件：

  # 安装Elysia中间件
  npm install @cap.js/middleware-elysia
  

• 支持自定义拦截页面与审计日志

实践指南：三步完成集成

步骤1：前端组件集成

<!-- 引入Widget -->
<div id="cap-container"></div>

<script>
  Cap.init({
    container: '#cap-container',
    mode: 'floating', // 浮动模式
    onSolved: (nonce) => {
      document.querySelector('#captcha-input').value = nonce
    }
  })
</script>

步骤2：服务端验证

// Node.js示例
const { createChallenge, verifyChallenge } = require('@cap.js/server')

// 生成挑战
app.get('/challenge', (req, res) => {
  const challenge = createChallenge({ difficulty: 18 })
  res.json(challenge)
})

// 验证提交
app.post('/submit', async (req, res) => {
  const isValid = await verifyChallenge(req.body.challenge, req.body.nonce)
  isValid ? proceed() : res.status(403).send()
})

步骤3：安全策略调优

常见问题解决方案

Q：移动设备算力不足导致验证失败？
A：采用动态难度策略：

// 根据设备类型调整难度
const difficulty = isMobile ? 16 : 18

Q：如何应对专业破解工具？
A：启用多层防御：

1. 组合IP信誉库检查
2. 关键操作二次验证
3. 定期更新盐值生成算法

Q：无前端JS环境如何验证？
A：使用CLI工具：

npx @cap.js/cli solve --challenge=xxxxx

演进路线与未来规划

Cap团队正在推进三大方向：

1. 量子安全算法：实验性抗量子签名集成
2. 分布式验证网络：基于区块链的挑战共识
3. 硬件加速标准：WebGPU计算支持路线图

开发者可通过RFC提案参与设计：
https://github.com/tiagorangel1/cap/discussions/categories/rfc

结语：验证技术的本质回归

Cap通过密码学原语实现了一个优雅的平衡：
让机器验证回归成本计算本质，让人机交互回归流畅体验本质。

相较于传统验证码的”猫鼠游戏”式升级（从扭曲文字到红绿灯识别），Cap选择用数学之美解决问题——正如其名所示，它既是防护的”帽”（Cap），也是简洁的”封装”（CAP：Cryptographic Automation Proof）。

# 即刻体验
npm create cap@latest

项目资源：

• 官方文档：https://capjs.js.org
• 交互演示：https://capjs.js.org/guide/demo.html
• 问题追踪：https://github.com/tiagorangel1/cap/issues