设计无状态验证码，大家看下是否可行，有没有什么漏洞？

无状态验证码不需要在 SESSION 中保存数据，流程如下：

1. 服务端先配置一个密钥 KEY
2. 客户端请求验证码 TOKEN， 服务端生成一个随机字符串 TEXT ，再生成一个 SALT ，用 KEY 和 SALT 对 TEXT 进行加密 加密后的 TEXT 和 SALT 拼接到一起，作为 TOKEN 返回给客户端
3. 客户端请求验证码图片，携带验证码 TOKEN， 服务端根据 KEY 和 TOKEN 中的 SALT ，解密出 TEXT ，用这个 TEXT 生成一幅图片
4. 客户端发送业务请求，携带验证码 TOKEN 和用户输入的 CODE， 服务端根据 KEY 和 TOKEN 中的 SALT ，解密出 TEXT ，和 CODE 比对

代码 https://github.com/guyskk/kkblog/blob/master/kkblog/captcha.py

大家看下是否可行，有没有什么漏洞？