问题描述

关于web验证码与action的问题

一般来说，验证码校验前端后台都要检验一次。这才比较安全。
可是现在问题是这样的：
我有一个action是提供给自己业务系统调用，同时也提供给别的系统通过httpclient的方式调用。
在这个action里面，是需要做验证码校验的。
在我自己的业务系统，只要客户端浏览器用户输入后台生成的四位数验证码，连同其他要提交的
内容一并提交表单，到达action就能校验验证码。
可是，别的系统是通过httpclient调用我的action，他们怎么传验证码过来呢？他们输入正确的验证码呢？

解决方案

一般来说，验证码校验前端后台都要检验一次。这才比较安全。
错，验证码只能在后端校验。如果前端可以校验，相当于正确答案已经在前端了，用机器就可以识别，那么它就形同虚设了。

解决方案二：

你可以发一个token，在你的服务器上建立token和生成的image的对应关系，用户传token和识别后的验证码，你去比对对不对。对于token，要加上有效期判断。