验证码与限速应协调配置，避免合法用户无法登录、攻击者却能直接调用接口。服务端验证是基础。
绑定验证任务
验证码有有效期且不能无限复用，验证结果与会话或操作关联。
限制异常尝试
结合账号、来源和失败行为，逐步增加等待，避免永久锁定造成拒绝服务。
验证恢复流程
忘记口令和共享网络测试，提示不泄露账号存在性。验证码不是账号权限检查的替代。
验证码与业务任务绑定
验证结果关联本次登录或提交，过期、重复使用和不匹配请求拒绝。
频率控制与合法重试协调，验证码失败不清空合理输入，图形难度增加不能代替完整请求防护。
例如登录验证码结果被用于留言请求，应拒绝不匹配任务，不能跨场景复用验证。
相关阅读：网站后台登录：口令、MFA、验证码与频率控制。