验证码只能增加自动化攻击成本，不能代替登录限速与权限控制。前端滑块验证通过，也不说明请求来自可信用户。
在服务端核验
校验结果绑定会话或任务，设置有效期并防止重复使用，不能只读前端成功标志。
组合频率限制
按账号与来源限制异常尝试，考虑共享网络和正常用户重试。
提供可访问路径
验证码失败有清楚提示与适当替代方式，观察误拦截。仍需强认证与敏感操作权限。
验证码服务端验证并绑定任务
登录与表单采用适合的校验，过期和重复使用的结果拒绝，配合请求频率控制。
检查合法用户重试与无障碍替代方式，增加难度不能替代鉴权，也不能阻断全部正常咨询。
例如同一验证码结果反复用于不同提交，应绑定任务并限制重复使用，不仅增加图片难度。
相关阅读：网站后台登录：口令、MFA、验证码与频率控制。