Django图形验证码实现与安全防护指南-代码聚汇网

Django图形验证码实现与安全防护指南

木-Star·2026-08-19·阅读 21 GEO检测（免费）

Django验证码Pillow图像处理Web安全防护

|难度：普通|阅读约 20 分钟

1. 为什么Django项目需要验证码功能

在开发学生管理系统这类涉及敏感数据的Web应用时，登录环节的安全防护是首要考虑的问题。我曾在多个教育类项目中遇到过恶意暴力破解的攻击案例——攻击者通过自动化脚本尝试常见密码组合，导致服务器负载激增甚至数据泄露。验证码(CAPTCHA)作为区分人类用户和机器程序的经典方案，能有效缓解这类安全问题。

Django框架内置的安全机制虽然提供了CSRF防护、密码哈希等基础保护，但针对自动化登录攻击仍需额外加固。验证码的核心价值在于：

防机器滥用：强制用户完成图形识别或逻辑验证，阻断自动化脚本的批量登录尝试
降低撞库风险：即使账号密码泄露，没有验证码也无法完成登录
行为分析前置：在用户提交敏感操作前建立安全验证点

当前主流的验证码实现方案包括：

图形验证码：生成包含干扰元素的随机字符图片（本文重点方案）
行为验证：如拖动滑块、点击特定区域等交互验证
短信/邮件验证码：通过二次通道发送动态码
智能验证：基于用户行为特征的静默验证（如reCAPTCHA v3）

在教育系统中，图形验证码因其实现简单、无需第三方依赖、用户体验适中而成为首选。下面我将详细介绍基于Django的完整实现方案。

需要模型API调用？免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。

2. 验证码生成模块实现

2.1 核心组件选型

生成图形验证码需要解决三个技术问题：随机字符串生成、图像绘制、干扰元素添加。Django生态中有两个主流选择：

django-simple-captcha：功能全面的第三方包
Pillow+PIL：Python图像处理标准库组合

经过实际项目对比，我推荐使用Pillow方案，原因如下：

可控性更强：可自定义字体、大小、扭曲程度等参数
依赖更少：仅需安装Pillow，减少第三方包带来的兼容风险
性能更好：直接操作图像缓冲区，避免抽象层开销

安装命令：

bash复制pip install pillow

2.2 验证码生成视图

在Django项目的views.py中创建验证码生成视图：

python复制import random
import io
from django.http import HttpResponse
from PIL import Image, ImageDraw, ImageFont

def generate_captcha(request):
    # 生成4位随机字符（排除易混淆字符）
    chars = 'ABCDEFGHJKLMNPQRSTUVWXYZ23456789'
    captcha_text = ''.join(random.sample(chars, 4))
    
    # 存储到session用于后续验证
    request.session['captcha'] = captcha_text.lower()
    request.session.set_expiry(300)  # 5分钟有效期
    
    # 创建图像对象
    image = Image.new('RGB', (120, 40), color=(240, 240, 240))
    draw = ImageDraw.Draw(image)
    
    # 使用自定义字体（需将字体文件放在项目目录中）
    try:
        font = ImageFont.truetype('arial.ttf', 28)
    except:
        font = ImageFont.load_default()
    
    # 绘制字符（每个字符随机位置和颜色）
    x = 10
    for ch in captcha_text:
        y = random.randint(5, 10)
        draw.text((x, y), ch, fill=(
            random.randint(0, 150),
            random.randint(0, 150),
            random.randint(0, 150)
        ), font=font)
        x += 25
    
    # 添加干扰线
    for _ in range(5):
        draw.line([
            (random.randint(0, 120), random.randint(0, 40)),
            (random.randint(0, 120), random.randint(0, 40))
        ], fill=(random.randint(100, 200), random.randint(100, 200), random.randint(100, 200)), width=2)
    
    # 添加噪点
    for _ in range(200):
        draw.point([
            random.randint(0, 120),
            random.randint(0, 40)
        ], fill=(random.randint(150, 200), random.randint(150, 200), random.randint(150, 200)))
    
    # 输出图像流
    buffer = io.BytesIO()
    image.save(buffer, format='PNG')
    return HttpResponse(buffer.getvalue(), content_type='image/png')

关键实现细节说明：

字符生成策略：排除容易混淆的字符（如0/O、1/I/l），提高识别准确率
会话存储：使用Django session机制存储验证码文本，设置合理过期时间
视觉干扰：通过随机位置、颜色、干扰线和噪点增加机器识别难度
字体处理：优先尝试加载自定义字体，回退到系统默认字体

2.3 URL路由配置

在urls.py中添加路由规则：

python复制from django.urls import path
from . import views

urlpatterns = [
    path('captcha/', views.generate_captcha, name='generate_captcha'),
]

3. 前端集成方案

3.1 基础HTML模板

在登录页面模板中（如login.html）添加验证码区域：

html复制<form method="post">
    {% csrf_token %}
    <div class="form-group">
        <label for="username">学号/工号</label>
        <input type="text" class="form-control" id="username" name="username" required>
    </div>
    <div class="form-group">
        <label for="password">密码</label>
        <input type="password" class="form-control" id="password" name="password" required>
    </div>
    <div class="form-group">
        <label for="captcha">验证码</label>
        <div class="input-group">
            <input type="text" class="form-control" id="captcha" name="captcha" required>
            <div class="input-group-append">
                <img src="{% url 'generate_captcha' %}" 
                     class="captcha-img" 
                     alt="验证码"
                     onclick="refreshCaptcha()">
            </div>
        </div>
    </div>
    <button type="submit" class="btn btn-primary">登录</button>
</form>

3.2 验证码刷新功能

添加JavaScript实现点击刷新：

javascript复制function refreshCaptcha() {
    const captchaImg = document.querySelector('.captcha-img');
    captchaImg.src = "{% url 'generate_captcha' %}?" + new Date().getTime();
}

这个实现通过添加时间戳参数强制浏览器重新请求图片，避免缓存问题。

3.3 样式优化建议

在CSS中添加以下规则提升用户体验：

css复制.captcha-img {
    height: 40px;
    border: 1px solid #ddd;
    cursor: pointer;
    margin-left: 10px;
    border-radius: 4px;
}

.input-group {
    margin-bottom: 15px;
}

4. 验证码校验逻辑

4.1 登录视图增强

修改原有的登录视图函数，添加验证码验证环节：

python复制from django.contrib import auth
from django.contrib import messages

def user_login(request):
    if request.method == 'POST':
        # 获取表单数据
        username = request.POST.get('username')
        password = request.POST.get('password')
        user_input_captcha = request.POST.get('captcha', '').lower()
        
        # 验证码校验
        session_captcha = request.session.get('captcha', '')
        if not session_captcha or session_captcha != user_input_captcha:
            messages.error(request, '验证码错误')
            return redirect('login')
        
        # 用户认证
        user = auth.authenticate(username=username, password=password)
        if user is not None:
            auth.login(request, user)
            return redirect('dashboard')
        else:
            messages.error(request, '账号或密码错误')
    
    return render(request, 'login.html')

4.2 验证码安全策略

为提高安全性，建议实施以下策略：

大小写不敏感：存储小写版本，用户输入统一转为小写比较
一次性使用：验证成功后立即清除session中的验证码
频率限制：使用Django Ratelimit等工具限制验证码请求频率
错误计数：记录连续失败次数，达到阈值后锁定账号

4.3 验证码生命周期管理

在settings.py中配置session参数：

python复制# 验证码有效期5分钟
CAPTCHA_TIMEOUT = 300  

# Session配置
SESSION_COOKIE_AGE = 3600  # 1小时
SESSION_SAVE_EVERY_REQUEST = True

5. 高级优化方案

5.1 缓存优化

频繁生成验证码可能影响性能，可采用两种缓存策略：

内存缓存：使用Django内置缓存框架

python复制from django.core.cache import cache

def generate_captcha(request):
    # ...生成逻辑...
    cache_key = f'captcha_{request.session.session_key}'
    cache.set(cache_key, captcha_text.lower(), timeout=300)
    # ...

客户端缓存控制：添加HTTP头减少重复生成

python复制response = HttpResponse(buffer.getvalue(), content_type='image/png')
response['Cache-Control'] = 'no-cache, no-store, must-revalidate'
response['Pragma'] = 'no-cache'
response['Expires'] = '0'
return response

5.2 数学公式验证码

为提升无障碍访问能力，可增加数学计算型验证码：

python复制# 生成阶段
a, b = random.randint(1, 10), random.randint(1, 10)
captcha_text = f"{a}+{b}"
request.session['captcha'] = str(a + b)

# 验证阶段
try:
    if int(user_input) != int(session_captcha):
        # 验证失败
except ValueError:
    # 输入格式错误

5.3 日志与监控

添加验证码相关日志记录：

python复制import logging
logger = logging.getLogger('security')

def user_login(request):
    if request.method == 'POST':
        # ...验证逻辑...
        if captcha_failed:
            logger.warning(f'验证码失败尝试: IP={request.META["REMOTE_ADDR"]}')

6. 常见问题排查

6.1 验证码不显示

可能原因及解决方案：

Pillow未正确安装：

bash复制pip uninstall pillow
pip install --no-cache-dir pillow

字体路径问题：
- 将字体文件放在项目静态文件目录
- 或使用绝对路径：/usr/share/fonts/truetype/arial.ttf

Session配置错误：
检查settings.py中是否启用session中间件：

python复制MIDDLEWARE = [
    # ...
    'django.contrib.sessions.middleware.SessionMiddleware',
    # ...
]

6.2 验证总是失败

典型排查步骤：

检查浏览器是否禁用了Cookie
确认服务器时间与时区设置正确
查看session存储后端是否正常工作

在视图中添加调试输出：

python复制print(f"输入: {user_input_captcha}, 存储: {session_captcha}")

6.3 性能优化建议

当并发量较大时：

使用更轻量的图像库（如wand）
预生成验证码池
启用CDN缓存静态资源
考虑使用第三方验证码服务

7. 安全增强措施

7.1 对抗OCR识别

通过以下方式增加机器识别难度：

python复制# 在生成代码中添加
image = image.filter(ImageFilter.SMOOTH_MORE)  # 平滑滤镜
image = image.transform(
    (130, 50), 
    Image.AFFINE, 
    (1, -0.3, 0, -0.1, 1, 0)
)  # 轻微扭曲

7.2 动态难度调整

根据异常请求频率自动提升难度：

python复制def get_captcha_difficulty(request):
    fail_count = cache.get(f'captcha_fail_{request.META["REMOTE_ADDR"]}', 0)
    if fail_count > 5:
        return {
            'length': 6,
            'noise': 300,
            'lines': 8
        }
    return {
        'length': 4,
        'noise': 200,
        'lines': 5
    }

7.3 蜜罐技术

在表单中添加隐藏字段检测自动化工具：

html复制<input type="text" name="honeypot" style="display:none;">

在视图中进行检查：

python复制if request.POST.get('honeypot'):
    logger.warning('蜜罐触发')
    return HttpResponse('检测到异常行为')