关于 空梦统一通行证 的一点点小更新
内容提要
开放了WebAuth，预计开放备用注册入口。WebAuth在Windows上效果不错，能直接调用Windows安全中心，通过系统的PIN/指纹完成验证。备用注册/登录入口考虑使用hcaptcha，因为谷歌验证码加载不出来的情况很常见。换成hcaptcha作为备用应该也够安全了。
延伸解读
WebAuth 的实际体验与便利性
文章提到 WebAuth 在 Windows 上效果不错，能直接调用 Windows 安全中心，通过系统 PIN 或指纹完成验证，物理密钥大概也行。作者认为这比打开密码管理器获取 TOTP 验证码更方便，属于“懒人福音”。不过 Android 端效果尚未测试，实际表现可能因平台而异。
备用验证码为何选择 hCaptcha
由于部分用户遇到谷歌验证码加载不出来的情况，作者考虑增加备用注册/登录入口，并将验证码换成 hCaptcha。虽然作者个人觉得 hCaptcha 难度较高，经常需要尝试多次，但认为作为备用方案也足够安全。这反映了在可用性与安全性之间的权衡。
谷歌验证码的交互逻辑与误区
作者指出谷歌的交互式验证码并不要求题目完全正确，只要别错得太离谱即可。例如消防栓、红绿灯等图片，如果图块中只有一点点，选不选都行；红绿灯的柱子选不选也无所谓。这种设计甚至利用用户的纠结来辅助判断是否为真人，因为机器不会纠结。
Q&A
WebAuth是什么，它有什么优势？
WebAuth是一种身份验证方式，能够直接调用Windows安全中心，通过PIN或指纹完成验证，使用起来更方便。
为什么要考虑使用hcaptcha作为备用注册入口？
因为谷歌验证码加载不出来的情况很常见，hcaptcha作为备用验证码也足够安全，能解决这一问题。
谷歌验证码和hcaptcha有什么区别？
谷歌验证码的交互式验证更友好，用户只需避免明显错误即可通过，而hcaptcha的体验相对较差。
WebAuth在Windows上的表现如何？
WebAuth在Windows上表现不错，能够直接调用Windows安全中心，使用PIN或指纹进行验证。
使用hcaptcha作为备用验证码安全吗？
是的，hcaptcha作为备用验证码被认为是足够安全的，能够有效应对验证码加载问题。
谷歌验证码的交互式验证是如何工作的？
谷歌验证码的交互式验证不在乎用户答题的对错，只要避免明显错误即可通过，体现了人类的思考过程。
