思考壹:不要把責任推給用戶。
不知道大家有沒有想過，讓用戶識別並輸入扭曲的驗證碼，其實是因為服務商沒有能力默默區分人和機器，而輸入驗證碼的操作，其實對用戶來說是沒有任何價值的。
有壹次我接到壹個用戶的電話，抱怨我不能處理驗證碼。我跟他解釋說我們被攻擊了，所以我臨時提高了驗證碼的等級。打完電話，我習慣性的跟他道歉，但是用戶很體貼的安慰我，說沒必要道歉。畢竟，被攻擊不是我們的錯。
當時心裏壹熱，臉也紅了。他是對的。被攻擊真的不是我們的錯，但也不是用戶的錯。讓他們付出成本，花時間分辨圖中的圓是O，0還是6。其實讓他們承擔我們應該承擔的責任。
換句話說，如果我們想的更激進壹點，我們的軟件服務中還有很多推卸責任的設計，比如讓用戶在成千上萬的商品中篩選比較價格，比如各種復雜的界面參數設置，興趣選擇。如果妳想得更廣壹點，似乎所有的銀行賬戶密碼都是不必要的，超市排隊也是如此。
如果用戶不用付出篩選和比價的成本，或者不用花費精力去記賬號密碼，就能享受到同樣的優質服務，豈不是更好？
基於這樣的思考，是不是應該立刻擺脫這些推卸責任的設計，比如想壹個更復雜的方案來替代現有的驗證碼機制？
這是關於驗證碼的兩點思考。
思考二:方案選擇的平衡
有效的設計不壹定是好的設計。比如我以前用驗證碼設計產品，在壹些特殊的階段(像剛才說的定向攻擊)，我們會升級驗證碼機制，讓驗證碼出現的頻率更高，更難識別，以抵禦壹些關鍵入口的定向攻擊。
這種策略是有效的，但是對用戶傷害很大。驗證碼機制升級後，用戶登錄過程花費的時間會明顯增加，通過率也會降低，壹下子就會有大量用戶投訴。
但是從服務提供商的角度來說，很快就用低成本解決了當時面臨的問題。計算機培訓/認為這是產品設計方案選擇過程中不得不做出的“平衡”。很多時候我們無法壹次性為用戶實施完美的方案，這就需要在產品利益和用戶利益之間找到壹個微妙的動態平衡。