好的，这是一个问题：在我正在处理的项目中，我们不能依赖服务器端会话来实现任何功能。
问题在于，防止机器人提交的常见验证码解决方案需要会话来存储字符串以匹配验证码。
问题是 - 有没有办法在不使用会话的情况下解决问题？我想到的是提供隐藏的表单字段，包含一些哈希以及验证码输入字段，以便服务器可以将这两个值匹配在一起。但是我们如何才能使这种方法安全，使其不能用于轻易破解验证码。
【问题讨论】：
对会话或数据库的需求来自于将图像的 GET 与包含它的 html 页面协调的需要，那么如何使用相同的代码嵌入验证码图像：[img src='data:image/jpeg ;base64,...']，使用随机盐对其文本进行散列，然后在单个 GET 中将随机盐和散列与图像一起发送到客户端？
在回发时，您将用户文本附加到 salt，然后比较哈希值。只是想知道这有多安全......
【讨论】：
使用honeypottechnique：将具有贪心名称的文本字段（如“电子邮件”）放入由 CSS 隐藏的字段中（显示：无；可见性：隐藏；）。
当您必须清理表单时，只需检查该字段是否为空、是否由人发送（看不到该字段，因此无法填写），否则，来自垃圾邮件发送者。
这就是为什么垃圾邮件发送者通常在发送表单之前使用预先确定的值填充页面中的所有字段......并且不会打扰用户阅读验证码。
否则，依靠人类阅读，例如“在字段中写单词“$word”的第一个$x字母：”
然后，您只需将 $x 和 $word 发送到下一页并检查它（当然，您可以将字段名称随机化以更准确）
我记得phpBB 论坛插件 依赖于这样一个事实，即垃圾邮件机器人通常会选择<select> 字段中的第一个可用选项（带有值）；只需将<option value="kickmeplease">Yes, im a bot.</option>作为第一个选项@
有很多方法可以防止垃圾邮件机器人，发挥机器人永远不会拥有的一个因素：想象力
【讨论】：
您可以尝试在数据库中存储一堆验证码。或者，这里有一个关于替代验证码方法的很好的讨论：Practical non-image based CAPTCHA approaches?
确实有一些非常有趣的技术，请仔细阅读。
【讨论】：
让 CAPTCHA 生成器返回图像，并使用加盐散列或自定义散列作为答案（强调加盐/自定义）。让生成器将该哈希推送到 cookie 中。然后，服务器可以根据 cookie 中的值进行验证。这不需要 JavaScript，但如果 cookie 被禁用，您将不得不回退到另一种技术。
【讨论】：
自动填充验证码的 UUID 以及 POST 中的用户答案。十分简单。
【讨论】：
只需做一个数学验证码；) 2+90 = ?方程应该显示在图像中，瞧;)
【讨论】：
使您的隐藏输入字段只是一个随机序列。将此随机数据与验证码信息一起存储在数据库中，以便您可以使用它查找正确的验证码。
您还需要为生成的每个验证码设置一个较短的生存时间。最后，您可以在数据库中存储和跟踪每个验证码的尝试次数，并对其施加硬限制（3 次猜测，这是永久失败）。
【讨论】：
如果没有持久状态服务器端，我看不到验证码工作。
您的建议并不安全，因为攻击者总是可以很容易地发布自己的“隐藏字段”和匹配的验证码文本。
为什么不从另一个可以保持持久状态的网络服务器进行验证码？
【讨论】：
您能否授予他们客户端证书以响应 CAPTCHA 调用？然后，一旦他们在浏览器中选择了该证书，该证书就会随客户端的每次调用一起发送，并且可以在没有会话和进一步 CAPTCHA 调用的情况下用于身份验证。
【讨论】：
这是我的看法（如果看起来很复杂，请抱歉）：
页面请求：
形式：
captcha.php 页面对密文进行解密，生成图片。
用户提交带有代码“abcdaa”的表单（以及隐藏的输入 $crypt）
编辑： 加密函数需要是可逆的（解密），因为验证码图像生成器需要原始代码。
【讨论】：
这个解决方案怎么样？我在 google 上找到了这篇“Sessionless PHP Captcha”文章，并在我的一个项目中使用过，它很简单，没有会话，而且是免费的。 RC4 有什么安全问题吗？
【讨论】：
自己的想法，不知道好不好：
1) 如果用户已登录，只需在登录时使用一些哈希函数并生成验证码，
2）如果它是注册表单等，只需从表单字段中散列一些值（例如登录，当用户完成输入时）并通过 ajax 显示带有登录散列的 CAPTCHA。
希望，这是可以理解的。 :)
编辑： 没有 AJAX： 2步注册：
在1，我们收集登录等提交后，我们直接到?login=new_login
在 2 处，我们隐藏了带有 GET["login"] 的输入，并在 CAPTCHA 图像中对其进行哈希处理 - 提交后，我们必须检查答案。
【讨论】：
带有验证的表单：
$errorsucc = '';
if (isset($_POST["captcha_check"])) {
$code = str_decrypt($_POST["captcha_check"]);
if (empty($_POST['captcha_code'])) {
$errorsucc = '<p style="color:red">Please Enter the security code.</p>';
} elseif(!( $code == $_POST['captcha_code'] && !empty($code) )) {
$errorsucc = '<p style="color:red">Incorrect Code Entered.</p>';
} else {
$errorsucc = '<p style = "green">Nice, you entered the correct code.</p>';
}
}
$captcha = new CaptchaCode();
$code = str_encrypt($captcha->generateCode(6));
?>
<html>
<title>Sessionless Captcha</title>
<div style = "background: #e2e2e2; padding: 20px; width: 20%; box-shadow: 5px 5px #ccc;">
<?php echo $errorsucc; ?>
<form name="captchaform" method="post">
<table border="0" cellpadding="4" cellspacing="0">
<tr><td valign="middle" align="left">Security Code:</td>
<td valign="middle" align="left"><img src="captcha_images.php?width=150&height=50&code=<?php echo $code?>" /></td>
</tr>
<tr><td valign="middle" align="left">Enter Code:</td>
<td valign="middle" align="left"><input id="captcha_code" name="captcha_code" style="width:150px" type="text" /></td>
</tr>
<tr><td valign="top" align="left">
</td>
<td valign="top" align="left">
<input border="0" type="submit" value="Submit" />
</td>
</tr>
</table>
<input type="hidden" name="captcha_check" value="<?php echo $code?>" />
</form>
</div>
</html>
像任何其他验证码一样生成图像：
/* font size will be 75% of the image height */
$font_size = $height * 0.75;
$image = @imagecreate($width, $height) or die('Cannot initialize new GD image stream');
/* set the colours */
$background_color = imagecolorallocate($image, 255, 255, 255);
$text_color = imagecolorallocate($image, 0, 26, 26);
$noise_color = imagecolorallocate($image, 25, 89, 89);
/* generate random dots in background */
for( $i=0; $i<($width*$height)/3; $i++ ) {
imagefilledellipse($image, mt_rand(0,$width), mt_rand(0,$height), 1, 1, $noise_color);
}
/* generate random lines in background */
for( $i=0; $i<($width*$height)/150; $i++ ) {
imageline($image, mt_rand(0,$width), mt_rand(0,$height), mt_rand(0,$width), mt_rand(0,$height), $noise_color);
}
/* create textbox and add text */
$textbox = imagettfbbox($font_size, 0, $this->font, $code) or die('Error in imagettfbbox function');
$x = ($width - $textbox[4])/2;
$y = ($height - $textbox[5])/2;
imagettftext($image, $font_size, 0, $x, $y, $text_color, $this->font , $code) or die('Error in imagettftext function');
/* output captcha image to browser */
header('Content-Type: image/jpeg');
imagejpeg($image);
imagedestroy($image);
从此链接下载演示文件： Create a Sessionless Captcha in PHP
【讨论】：