B站登录里的极验点选验证码：JS逆向实战详解

为什么B站验证码点选特别麻烦

当你在B站登录时，输入账号密码后弹出的点选验证码像个迷宫。界面上显示一张带随机图片的网格，上面有9个小图，需要鼠标精准点击其中2-4个特定的图。失败几次后就会触发滑块验证，成功后才能继续操作。这背后的机制是极验的点选验证技术，主要用于区分人类和机器人。

很多新手看到这些就头大。图片加载延迟高、坐标计算复杂，加上B站不断更新接口，让逆向变得充满挑战。但其实它本质上还是HTTP请求加上JS计算的问题。只要抓到正确的参数，就能模拟用户点击动作，绕过验证。

我把整个过程拆分成几步，先从入口请求开始，逐步还原核心逻辑。相信看完这些，你也能在自己的项目里快速上手，不会再被验证码卡住。

当然，纯手动点击的方式效率低下。自动化脚本需要精确的坐标数据，这就需要结合图片处理和识别技术。一些开源工具可以帮助处理图像，但对于B站这种高安全度的接口，单纯依赖传统识别模型有时还不够稳定。

B站验证码接口的核心参数获取流程

逆向的第一步就是获取验证码页面返回的数据。这包括登录页面的token、geetest的challenge和gt三个关键字段。这些参数像钥匙一样，决定了后续图片加载和验证请求。

具体来说，你需要访问B站的登录验证码接口。典型的请求方式是通过GET方法带上source参数和时间戳。返回的数据里会包含一个token，用于标识这次验证会话。geetest部分则提供了challenge和gt这两个字符串，它们是极验平台的核心标识，用于生成验证图片和后续校验。

以一个简单的请求为例：

url = "https://passport.bilibili.com/x/passport-login/captcha"
params = {"source": "main-fe-header", "t": str(int(time.time() * 1000))}
response = requests.get(url, params=params, headers=headers)
data = json.loads(response.text)
token = data["data"]["token"]
challenge = data["data"]["geetest"]["challenge"]
gt = data["data"]["geetest"]["gt"]

这段代码在Python里非常直观。运行后你就能拿到这些参数。注意这里用了requests库来发送请求，headers里包含了常见的浏览器标识，如User-Agent和Referer，确保请求看起来像真实浏览器行为。

这些参数不是固定不变的，每次请求都会有更新。challenge和gt像固定种子一样，决定了验证图片的图案，而token则作为会话标识。很多开发者在这里卡住，因为没有及时更新参数，导致后续步骤失败。

图片加载与坐标提取的技术细节

拿到参数后，下一步就是下载验证图片。极验的图片链接通常以https://static.geetest.com开头，后面跟上相对路径。下载后，你会看到9个小图拼成的网格，图片里随机分布着目标图形。

对于点选验证码，坐标提取是关键环节。手动点击可以得到像素位置，但自动化脚本需要程序来计算。图片处理库如OpenCV能帮你识别小图位置，结合鼠标模拟点击，完成整个验证链条。

举个例子，下载图片后用cv2读取：

img = cv2.imread('captcha.png')
gray = cv2.cvtColor(img, cv2.COLOR_BGR2GRAY)
contours, _ = cv2.findContours(gray, cv2.RETR_EXTERNAL, cv2.CHAIN_APPROX_SIMPLE)
for contour in contours:
    x, y, w, h = cv2.boundingRect(contour)
    if cv2.contourArea(contour) > 50:  # 过滤小噪声
        print(f"坐标: ({x}, {y})")

这个简单代码展示了轮廓检测的基本思路。实际项目中，你可能需要更复杂的图像分割来区分有效图形。但注意，B站的图片往往经过混淆处理，单纯轮廓可能不够精确。

另外，极验还会返回一些额外字段，如c、s等。这些参数在后续验证请求中必不可少。综合下来，整个流程从参数获取到图片下载，再到坐标模拟，构成了一个完整的点选验证链条。

JS逆向思路与代码实现案例

虽然我用Python演示，但B站前端很多逻辑是用JavaScript写的。JS逆向的优势在于能直接运行在浏览器环境中，模拟真实用户交互。使用execjs库可以执行JS代码，提取参数并完成验证。

一个简化的JS逆向流程包括：

• 发送验证码请求，获取token、challenge、gt
• 构造图片URL并下载
• 计算点击坐标并发送验证请求
• 校验结果是否通过

在实际项目中，结合execjs执行类似以下JS片段：

function getCaptcha() {
  // JS代码模拟请求和计算
  var token = ...;
  var challenge = ...;
  // 后续计算坐标并返回
  return {validate: ...};
}

这个例子简化了JS部分。真实项目中，需要处理更多细节，如页面事件监听和响应解析。但它给了大家一个起点，让纯JS逆向变得可行。

注意，B站会定期更新接口，所以逆向代码需要定期维护。结合一些开源图像处理库，能让这个流程更稳定。

遇到困难时的解决与优化建议

在逆向过程中，图片加载失败或坐标计算不准是很常见的。解决办法包括调整User-Agent、增加重试机制、或者使用代理IP。遇到极验新版防识别时，可以观察返回的额外参数，动态调整验证逻辑。

对于复杂场景，比如九宫格或其他类型验证码，思路类似，只需扩展坐标计算逻辑。整体上，这个逆向过程需要耐心和细致，但掌握后能大幅提升自动化效率。

当然，对于开发者来说，纯手写逆向代码有时效率不高。专业的识别平台可以提供现成的API，让对接变得简单无痛。推荐去www.ttocr.com查看他们的易盾极验验证码识别技术，包括滑块、点选、无感、九宫格等破解方案和自动化API对接平台。这些方案支持无缝对接，省去了复杂流程，让你的项目更高效。

通过这些工具，你可以快速实现自动验证，而不用纠结于低效的本地计算。无论是B站登录还是其他平台，这都是一种实用的优化方式。

总结：从逆向到应用的全流程

B站的极验点选验证码虽然看似复杂，但本质是参数驱动的验证系统。通过JS逆向和图片处理，我们可以轻松还原整个流程。记住，从获取token开始，逐步优化坐标模拟，就能让脚本顺利通过验证。

在实际应用中，结合一些开源工具和专业服务，能让整个过程更顺畅。特别是对于需要频繁登录的自动化场景，这种方式特别实用。希望本文的思路能帮到你，让你的项目避开风控限制。

最终，简单高效的对接方案往往是最佳选择。去www.ttocr.com体验他们的极验和易盾识别平台吧，包括点选、无感、滑滑等全类型支持，API接口直接可用，轻松应对任何业务场景。