在我的网站上，我有几个表格，某人（无需注册）可以向指定的注册用户发送消息。表格很简单，我想保持这种方式。如果我不想使用任何验证码，保护联系表单免受垃圾邮件和机器人攻击的最佳方法是什么？
Your message:...
Your e-mail:...
[Send]
【问题讨论】：
您可以使用 表单密钥 技术保护您的表单：
如果没有验证码或类似的东西，就不可能真正保护表单免受滥用。
但是，恶意垃圾邮件发送者必须使用这种技术
此技术还可以保护您的表单免受多次意外提交。
这是一个代码示例：
<?php
session_start();
if (isset($_POST['form_submit'])) {
// do stuff
if (isset($_POST['formkey']) && isset($_SESSION['formkeys'][$_POST['formkey']])) {
echo "valid, doing stuff now ... "; flush();
// delete formkey from session
unset($_SESSION['formkeys'][$_POST['formkey']]);
// release session early - after committing the session data is read-only
session_write_close();
// do whatever you like with the form data here
send_contact_mail($_POST);
}
else {
echo "request invalid or timed out.";
}
}
else {
// show form with formkey
$formkey = md5("foo".microtime().rand(1,999999));
// put current formkey into list of valid form keys for the user session
if (!is_array($_SESSION['formkeys']) {
$_SESSION['formkeys'] = array();
]
$_SESSION['formkeys'][$formkey] = now();
?>
<html>
<head><title>form key</title></head>
<body>
<form method="POST">
<input type="hidden" name="PHPSESSID" value="<?=session_id()?>">
<input type="text" name="formkey"
value="<?= $formkey ?>">
<input type="submit" name="form_submit" value="Contact us!">
</form>
</body>
</html>
<?php } ?>
【讨论】：
所以选项：
关于这些的详细信息以及我对它们的看法。
在我看来，最好的是解决方案 3，然后是解决方案 2，然后是解决方案 1，然后是解决方案 4 和 5。
【讨论】：
在我看来，许多网站（售票员、谷歌等主要网站和其他将成为目标的网站除外）可以通过结合使用多种不同的技术来防止没有验证码的评论/垃圾邮件。我最近创建了一个开源 PHP 项目，该项目实现了以下测试以确定提交是否可能是合法的或垃圾邮件。
这是项目的 URL。我喜欢上面 Kaii 的测试，它将为 phpFormProtect 做一个很好的额外测试。 https://github.com/mccarthy/phpFormProtect
【讨论】：
您可以从 IP 实施时间限制。因此，如果垃圾邮件机器人试图一次又一次地发送表单（在特定的时间间隔内，比如 1 小时），则该请求应该被拒绝。
您必须通过检查和存储用户的 IP 在服务器端执行此操作。然后当他们再次发送表单时，检查用户是否暂时已经在被阻止的 IP 中。
这也是StackOverflow implemented 2 年前的内容。
【讨论】：
您可以做一些事情来证明用户是人。如果你想保持简单，也许是一个问数学问题的字段，例如“2 + 5？”。但这并不像验证码那样安全。但是，如果可能的垃圾邮件没有让您感到困扰，那么可以这样做。
【讨论】：
使用：iScramble
它基本上需要一个字符串（您的表单 html 在 PHP 中存储为字符串）并生成一个混淆的 Javascript 块。
它可以帮助隐藏您用来保护表单的那些表单密钥，或者完全隐藏您的表单以防止机器人被入侵。
自 90 年代以来我一直在使用它（上面链接中的页面显然至少有那么旧）而且我从来没有收到过垃圾邮件。
【讨论】：