用户前几次登录时，不显示验证码的实现原理

最近看到支付宝登录时，以前默认要输入验证码的，现在第一次不用输入验证码；在保证安全的同时，大大提高了90%以上的用户体验，因为大部分用户都是一次登录成功的。

随后对原理挺有兴趣，稍微深入了下，还是挺简单的：
首先我们抛开是基于cookie的客户端session，还是基于服务端分布式Session管理用户登录。不管那种方式，我们都会为每个用户创建唯一id。在session是增加一个字段用来标示当前的id访问了几次，并把这个信息存在cookie中（基于cookie的客户端session），或者服务端（基于服务端分布式Session），然后根据这个字段作相应的控制即可。

突然想到：这么简单的事，支付宝为什么以前不早点作？