Bitwarden 贡献文档
⮐ Bitwarden Contributing Documentation我的博客联系我
  • 关于
  • 入门
    • 概述
    • 工具
    • 服务器
      • 设置指南
      • 高级服务器设置
      • 数据库
        • MSSQL
        • 实体框架
      • 事件日志
      • Ingress 隧道
      • SCIM
      • 自托管指南
      • 系统管理门户
      • 单点登录 (SSO)
        • 本地 IdP
        • Okta
      • 故障排除
      • 用户机密
      • 公共 API
    • 网页客户端
      • 网页密码库
        • WebAuthn
      • 浏览器端
        • 生物识别解锁
        • Firefox 隐私模式
      • 桌面端
        • Mac App Store Dev
        • Microsoft Store
        • Native Messaging Test Runner
        • 更新测试
      • CLI
      • 故障排除
    • 移动端
      • Android
        • F-Droid
      • iOS
      • .NET MAUI (legacy)
        • Android
        • iOS
        • watchOS
    • SDK
      • 内部 SDK
      • Secrets Manager
        • Integrations
          • Kubernetes
    • 业务 App
      • 目录连接器
        • JumpCloud
        • OpenLDAP Docker 服务器
      • Key Connector
      • Splunk App
  • 贡献
    • 贡献
    • 代码样式
      • =Android & Kotlin
      • Angular & TypeScript
      • C#
      • =Rust
      • T-SQL
      • =Swift
      • Tailwind
    • 数据库迁移
      • 进化数据库设计
    • 提交签名
    • 拉取请求
      • =贡献审查程序
      • 分支
      • 代码审查
      • UI 审查 - Chromatic
    • 无障碍
    • 依赖管理
    • 功能标记
    • 模板存储库
    • 测试
      • =数据库集成测试
      • 负载测试
      • 单元测试
        • 命名约定
        • 测试结构
    • 修改用户机密
  • 架构
    • 架构
    • 架构决策记录 (ADR)
      • 0001 - Angular Reactive Forms
      • 0002 - Public API for modules
      • 0003 - Adopt Observable Data Services for Angular
      • 0004 - Refactor State Service
      • 0005 - Refactor Api Service
      • 0006 - Clients: Use Jest Mocks
      • 0007 - Manifest V3 sync Observables
      • 0008 - Server: Adopt CQRS
      • 0009 - Composition over inheritance
      • 0010 - Angular Modules
      • 0011 - Scalable Angular Clients folder structure
      • 0012 - Angular Filename convention
      • 0013 - Avoid layered folder structure for request/response models
      • 0014 - Adopt Typescript Strict flag
      • 0015 - Short Lived Browser Services
      • 0016 - Move Decryption and Encryption to Views
      • 0017 - Use Swift to build watchOS app
      • 0018 - Feature management
      • 0019 - Adoption of Web Push
      • 0020 - Observability with OpenTelemetry
      • 0021 - Logging to Standard Output
      • =0022 - Authorization
      • =0023 - Identifying Integrated Clients
    • 移动客户端架构
      • =Android
      • =iOS
        • =推送通知故障排除提示
      • =.NET MAUI (legacy)
        • =概述
        • watchOS
    • =SDK 架构
      • =数据模型
      • =依赖
      • Password Manager
        • Web
          • =互操作性
      • =Secrets Manager
      • =服务器绑定
      • =版本控制和破坏性更改
    • 网络客户端架构
      • 概述
      • 数据模型
      • 表示层
        • Angular
        • CLI
      • =依赖注入
      • 服务层
        • Vision
        • 实现
    • 服务器架构
    • 深度剖析
      • 身份验证
        • 双重身份验证
      • =授权
      • =浏览器自动填充
        • 收集页面详细信息
        • 生成并执行填充脚本
        • 表单提交检测
        • Shadow DOM
        • =内联自动填充菜单
      • Captcha
      • =只读数据库副本
      • 事件日志
      • =FIDO2 和通行密钥
        • =凭据
        • =操作
        • =命名惯例
        • =实现
          • =提供程序
            • =浏览器扩展
          • =依赖方
            • =用于解密的通行密钥
        • =术语表
      • 推送通知
        • 移动端推送通知
        • 其他客户端推送通知
      • =SSH 密钥和代理
        • =SSH 代理
      • =状态提供程序框架
        • =派生状态
    • =安全
      • =定义
      • =原则
        • =P01 - 锁定的密码库是安全的
        • =P02 - 半受损设备密码库的有限安全性
        • =P03 - 完全损坏的系统没有安全性
        • =P04 - 控制密码库数据的访问权限
        • =P05 - 将安全漏洞的影响降至最低
      • =要求
由 GitBook 提供支持
在本页
  • 何时需要 Captcha?
  • 注册:[CaptchaProtected] 匿名端点
  • 登录:使用资源所有者密码身份验证对令牌请求进行身份验证
  • Captcha 在我们的代码中如何工作?
  • 什么是 Captcha 绕行令牌?
  1. 架构
  2. 深度剖析

Captcha

上一页=内联自动填充菜单下一页=只读数据库副本

最后更新于1年前

对应的

[译者注]:,又称验证码。(Completely Automated Public Turing test to tell Computers and Humans Apart)全自动区分计算机和人类的图灵测试,是一种区分用户是机器或人类的公共全自动程序。

何时需要 Captcha?

Bitwarden 代码库中的两个位置需要 Captcha:

  • 通过 [CapchaProtected] 属性的中注册

  • 通过 ResourceOwnerPasswordValidator 的登录

对于是否需要 Captcha,每种情况的验证都略有不同。

注册:[CaptchaProtected] 匿名端点

使用 [CaptchaProtected] 属性保护的唯一端点是身份服务上的 /register 端点。该端点是匿名的,因此没有身份验证中间件可以执行 Captcha 检查。

对于这些请求,如果满足以下任一条件,则服务器需要 Captcha:

  • CloudFlare x-Cf-Is-Bot 标头出现在请求中,或者

  • ForceCaptchaRequired 设置已启用

登录:使用资源所有者密码身份验证对令牌请求进行身份验证

身份服务中的 /identity/connect/token 的请求通过 ResourceOwnerPasswordValidator 进行验证。在此验证器中,我们执行不同的检查以查看是否需要 Captcha,因为端点已通过身份验证并且我们从请求中了解用户(假设他们已成功通过身份验证)。

对于已知设备,不要求 Captcha。此检查是在应用以下任何规则之前执行的。

对于这些请求,如果满足以下任一条件,则服务器需要 Captcha:

  • CloudFlare x-Cf-Is-Bot 标头出现在请求中

  • ForceCaptchaRequired 设置已启用

  • 登录失败次数大于 MaximumFailedLoginAttempts 的设置

  • 该请求针对的是云托管用户,其电子邮件未经验证,且在过去 24 小时内未进行过注册

CLI 会对 bw login 命令执行相同的 Captcha 检查,但不会提示 Captcha,而是接受 API 客户端机密。在下面的逻辑中,服务器会将 API 客户端机密作为「Captcha 响应」来处理。

Captcha 在我们的代码中如何工作?

在较高级别上,服务器发起并验证 Captcha 请求,客户端通过显示Captcha 并收集响应以验证服务器端来处理该要求。

更详细地,该过程如下:

  1. 服务器使用上面定义的规则接收需要 Captcha 的请求。

  2. 然后,服务器响应包含 HCaptcha_SiteKey 的响应,客户端将其解释为「此请求需要 Captcha」。

  3. 前端使用 CaptchaProtectedComponent 上的 showCaptcha() 方法根据此响应显示 Captcha <div> 。

  4. CaptchaProtectedComponent 将 CaptchaIFrame 组件作为输入,其中包含实际的 Captcha UI。

  5. CaptchaProtectedComponent 通过将 captchaToken 属性设置为 Captcha 响应中的值来处理 CaptchaIFrame 的 successCallback。

  6. 然后,用户可以再次发起操作(登录、注册等)。captchaToken 将作为正文中的另一个元素与请求一起发送。

什么是 Captcha 绕行令牌?

在某些情况下,同一用户向受 Captcha 保护的端点之一发出多个请求。我们希望基于后续请求之前已经填写过 Captcha 的事实来「绕过」Captcha 请求,即使根据上述规则的定义,这些后续请求需要 Captcha。

我们使用 Captcha 绕行令牌来完成此操作。这是验证 Captcha 时在服务器上为第一个请求创建的令牌,它包含:

  • 用户 ID

  • 用户邮箱

  • 到期日期(生成后 5 分钟)

由于 Captcha 绕行令牌是使用用户信息生成的,因此仅在登录的 Captcha 验证时对其进行检查。检查注册的 Captcha 验证没有意义,因为注册用户没有有效的用户 ID。

该令牌使用服务器上的数据保护密钥进行保护,并以 BWCaptchaBypass_{tokenContents} 格式在 CaptchaBypassToken 元素中返回。

然后,客户端可以在接下来的 5 分钟时间,对内来自同一用户的后续请求中使用该 captchaResponse,以绕过 Captcha 请求。服务器端代码处理此绕行令牌的方式与处理从 Captcha UI 显示中收集的 captchaResponse 的方式相同。

大多数用户流程中不需要 Captcha 绕行令牌,因为用户是从已知设备登录的。从已知设备登录会绕过所有 Captcha 请求,因此不需要令牌。

服务器通过 POST 将包含令牌和我们的站点密钥的消息发送到 来验证 HCaptchaValidationService 中的请求。

官方页面地址
CAPTCHA
https://hcaptcha.com/siteverify