做主机、IDC 业务的站长，最烦的往往不是流量涨，而是注册表单和工单里一堆机器提交。今天 WordPress 圈有个话题值得看一眼：有人把传统验证码（CAPTCHA）换成了自适应工作量证明（adaptive proof-of-work）。据公开报道，作者经营一家面向企业的举报服务，要求方案符合欧盟数据隐私法规、不写 cookie、不做用户追踪、只运行在自己的服务器上、对访客不可见，并且没有持续运行成本，最终选了 Hashcash（哈希现金）这类工作量证明机制。
我这边也有客户问：reCAPTCHA 我用着没出事，要不要跟着换？答案没那么统一，得看你被垃圾逼到哪一步。
你的表单是被垃圾堵住了，还是只是有点烦？
只有当你的真实提交被垃圾淹没、后台每天都在删机器注册时，换方案才值得动手。零星几条垃圾提交，直接关掉公开注册、给表单加个字段校验，成本更低。工作量证明不是免费午餐，它把一部分成本从服务器转移到访客的浏览器上，这笔账在你站点上划不划算，只有你自己算得清。
工作量证明把成本转给了谁？
自适应工作量证明把算题的开销压在访客浏览器上，换来的是请求不出你自己的服务器，也不依赖任何外部验证服务。具体做法是：提交表单前，浏览器按当前难度算一小段哈希，算完才放行，难度会根据情况自动调整。好处很直接：不写 cookie、不上传访客数据，也没有第三方服务的调用费用。据公开报道，这些正是作者选型时的硬要求。
代价也很直白。低端手机、老旧设备上的用户，算题时会有可感知的卡顿和耗电；网络环境差或者电量敏感的访客，体感会更明显。它拦得住机器批量提交，拦不住真人灌水和付费代过。所以对照着看：如果合规要求逼着你不能把访客数据交给第三方验证服务，自托管的工作量证明是个能落地的替代；如果只是想少看见几条垃圾，第三方验证码的识别能力通常更省事，代价是数据要经过对方的服务，合规口径你得自己交代清楚。
WHMCS 站点和 WordPress 站点能共用一套反垃圾吗？
不能。WordPress 插件只管 WordPress 表单，WHMCS 的注册、工单、找回密码走的是 WHMCS 自己的验证码与反垃圾设置，两边互不通用。用 WHMCS 做主机业务、同时用 WordPress 做官网和帮助中心的团队，最容易踩的坑就是只改了一边，垃圾从另一边照常进来。
我们经常遇到的情况是：站长先把 WHMCS 侧的实名短信认证、支付网关、汉化包这些配套补齐，再去动 WordPress 侧的反垃圾。微码宝上的 WHMCS 插件与 WordPress 主题插件提供正版授权下载，多数组件有免费基础版，正版授权带自动更新；要给客户做特殊逻辑，也可以提插件定制开发的需求，先说清场景，再谈要不要做。
现在值不值得动手？
动手前先回答四个问题：真实提交和垃圾的比例有多大；访客里有多少用低端设备或移动网络；有没有不写 cookie、不向第三方传数据的合规要求；这套机制跑在你自己的服务器上，运维能不能接得住。四条里有两三条是肯定的，才值得在测试环境装一套试试，别直接上生产。
内地站点还有一条：域名若已做 ICP 备案，按内地规则使用；引入任何第三方验证服务前，先确认数据流向和合规要求，再决定是自托管还是走外部服务。
想看具体组件，可以到站内查看插件详情，开通会员享全场折扣；要不要换验证码方案，留给你按上面四条自己判断。
