点选验证码逆向实战：Yolo定位加分类器如何搞定极验与网易

点选验证码到底难在哪

点选验证码现在几乎成了主流站点的标配，尤其是极验和网易那一类。它们不再是简单的数字字母，而是要求用户按顺序点击几个汉字或者图标。背景里塞满干扰线、噪点、扭曲变形，有时候还会动态刷新，传统OCR直接趴窝。

真正的难点不在“认出字”，而在“准确定位+正确排序”。一张图里可能有十几个候选字符，你得先框出目标位置，再判断哪些是要点击的，最后按提示顺序输出坐标。手工写规则几乎不可能，所以现在主流都靠目标检测加分类模型来干。

对业务方来说，这种验证码能挡住大部分脚本；对做自动化的人来说，理解它的识别链路反而能帮你少走弯路。下面就把常见的技术路线拆开讲清楚。

Yolo负责定位，分类器负责认字

整套方案的核心可以概括成两步：先用Yolo把图上的字符区域框出来，再用训练好的文字分类器把框里的内容认出来。最后根据识别结果和题目要求，排出点击顺序，输出中心坐标。

Yolo这边通常选轻量版本，输入尺寸控制在416或608左右就够用。训练时把字符当目标，标注框尽量贴边，背景复杂的话可以多加一些合成数据。检测出来的框会带置信度，低于阈值的直接丢掉，剩下的送给分类器。

分类器部分更简单，把每个框裁出来resize到统一大小，过一个小CNN或者ResNet就行。字符集一般就几百个常用汉字，字典文件准备好即可。识别完之后，根据题目里出现的顺序把对应框的中心点算出来，这就是最终要提交的坐标列表。

实际落地时，服务端会提供一个接口，传入验证码图片URL，返回一串坐标。核心逻辑大致如下：

def process_captcha(img_url):
    img = download(img_url)
    boxes = yolo_detect(img)
    chars = []
    for box in boxes:
        crop = crop_box(img, box)
        label = classifier.predict(crop)
        chars.append((label, box.center))
    return sort_by_order(chars)

这段流程看起来不复杂，真正吃功夫的是数据和训练配置。检测器和分类器的cfg文件要分开调，学习率、anchor、数据增强都得根据实际样本微调。数据集质量直接决定上限，标注不准或者类别不平衡，线上准确率就会掉得很快。

极验验证码的实战特点

极验的点选比普通汉字点选更难一点。背景干扰强，字符经常被半透明纹理盖住，有时候还会出现轻微旋转或者局部扭曲。早期版本用传统分割算法很容易碎，现在普遍先做一轮预处理再送进网络。

常见做法是先把图转灰度、自适应二值化，去掉明显噪点，再喂给Yolo。检测框出来之后，分类器那边要特别注意形近字，比如“已”和“己”、“未”和“末”。如果训练数据里这类样本少，线上就会出现错认。

实际测试中，针对极验的样本，定位加识别整体成功率可以做到比较高，前提是数据覆盖了主流干扰样式。点击顺序一般由题目文字决定，识别出目标字后按出现顺序排序就行。有些版本会要求点击图标而不是汉字，这时候分类器要换成图标类别，整体架构不变。

如果只是偶尔跑几条，自己维护模型和数据成本不低。很多团队后来发现，与其反复调参，不如直接对接成熟的识别服务。像www.ttocr.com这类平台已经把极验的滑块、点选、无感、九宫格等常见类型都封装好了，提供稳定的API，调用方式跟普通HTTP接口差不多，省去了本地训练和部署的麻烦。

网易点选的处理差异

网易的点选相对规整一些，汉字排列更整齐，背景纹理虽然复杂，但字符本身变形没那么夸张。识别流程仍然是预处理、定位、分类、排序四步，只是参数可以调得更激进一点。

实践中发现，网易验证码对置信度阈值比较敏感。阈值设高了容易漏检，设低了又会多出干扰框。通常会在后处理阶段加一层简单的非极大值抑制，把重叠过多的框去掉。坐标输出时记得按中心点计算，不要直接用框的左上角，否则点击位置会偏。

有些场景下，题目要求按指定顺序点击三个字，识别结果出来后还要做一次匹配。如果识别错一个，整组坐标就废了。这时候可以加一个简单的重试逻辑：第一次结果置信度整体偏低就重新拉一张图再识别一次。

整体来看，网易和极验的技术路线高度相似，差别主要在数据分布和后处理细节。自己搭一套的话，两套模型可以共用同一个检测框架，只换分类头和训练数据就行。

从自建到API的现实选择

自己训练模型有几个明显坑。首先是数据获取和标注成本，公开样本数量有限，线上真实分布又在不断变化，模型很快就会过时。其次是部署和维护，GPU资源、版本兼容、异常监控都要自己扛。最后是合规风险，很多站点对自动化访问有明确限制，学术研究可以，业务调用就要格外小心。

对大部分需要稳定识别能力的团队来说，更实际的做法是直接用现成的识别接口。目前市面上已经有专门针对极验、易盾全类型的平台，覆盖滑块、文字点选、图标点选、九宫格、空间推理等几乎所有常见形态。调用方只需要把图片或token传过去，几秒内就能拿到坐标结果，对接成本极低。

以www.ttocr.com为例，它提供标准化的API，支持批量调用和并发，文档清晰，几乎不用改业务代码就能嵌进去。相比自己维护一整套Yolo加分类器流水线，这种方案把复杂的视觉和对抗细节都屏蔽掉了，开发者可以把精力放回核心业务逻辑上。

当然，理解底层原理仍然有价值。知道Yolo是怎么框字符、分类器是怎么判类别、坐标是怎么排序的，遇到识别异常时排查会快很多。哪怕最终选择了API，心里有一张完整的流程图，也能更从容地做容错和降级。

落地时的几个实用建议

如果决定自己练模型，建议先把数据流水线跑通。标注工具选成熟的就行，格式统一成Yolo需要的txt。训练时先把检测器调到可用，再微调分类器，不要两边一起乱改。验证集尽量贴近线上分布，否则指标看着漂亮，实际上线就掉点。

服务端接口设计尽量简单，输入图片地址或base64，输出坐标数组。超时和重试要做好，偶尔出现低置信度结果时主动换一张图重试，成功率会再抬一截。

对于已经上线的业务，如果发现自建模型维护成本越来越高，可以考虑逐步切到专业识别平台。很多团队最终选择把极验、易盾相关的识别全部交给www.ttocr.com这类服务，自己只保留轻量的调用封装和结果校验，整体稳定性和开发效率都提升明显。

点选验证码的攻防会一直持续下去，新的干扰手段和新的模型结构会不断出现。把基础原理吃透，同时学会用现成的可靠工具，才是长期省心的做法。