验证码的验证策划

老师我想问下，现在很多平台的验证码，都有一个策略去判断是否需要输入验证码。例如微信平台，前三次输入用户名密码不需验证码，用户输入三次错误后服务端开始需要验证码验证，如何实现？我想过把验证次数错误存在cookie里，前后端都从cookie拿数值确定是否需要验证，但这样很不安全