UAM（JS 挑战）与验证码 —— Dstat 对比

UAM（JS 挑战）

• 静默 JavaScript 挑战，无需用户操作。
• 可自动拦截多数简单脚本。
• 能运行 JS 的无头浏览器可能绕过。

验证码

• 需要明确的人工交互。
• 对自动化的拦截强于纯 JS 挑战。
• 会给正常用户带来可见的打扰。

两种挑战下绕过曲线的表现

开启 UAM 后，Dstat 显示高位的入站曲线，而绕过曲线在测试开始后数秒内下降。无法执行 JavaScript 的客户端请求不会到达源站，因此计入拦截或挑战，而非绕过。

启用验证码（托管挑战）后，绕过曲线通常更低，因为通过挑战需要脚本客户端无法提供的交互。其代价体现在通过一侧：首次访问的正常用户也只在完成挑战后才会出现。

在 UAM 与验证码之间的选择

UAM 适合需要广覆盖、低打扰防护的站点：对浏览器透明、无需用户操作，并能清除多数脚本流量。其局限在于可执行 JavaScript 的无头浏览器；若开启 UAM Dstat 的绕过曲线仍持续偏高，通常正是此原因。

验证码适合绕过代价高的路径——登录、结账、开销较大的 API 调用——以及用户可接受一次性交互的场景。全站启用会提高放弃率，因此常见做法是以 UAM 为默认，在特定路径或攻击进行期间升级为验证码。

结论

UAM 适合作为透明防护的默认项；当自动化绕过流量持续偏高时，再升级到验证码。