На моем сайте у меня есть несколько форм, где кто-то (без регистрации) может отправить сообщение указанному, зарегистрированному пользователю. Форма проста, и я хочу сохранить этот путь. Каков наилучший способ защитить контактную форму повторно спама и ботов, если я не хочу использовать какую-либо капчу?Как защитить контактную форму без капчей?
Your message:...
Your e-mail:...
[Send]
Так варианты:
Подробная информация об этих и моем мнении о них.
На мой взгляд, лучшим решением является решение 3, затем решение 2, затем решение 1, затем решение 4 и 5.
Спасибо, это очень полезно. Я думаю, что сосредоточусь на первом в точке 4, а затем на точке 1. – Lucas
Вы можете сделать что-то, чтобы доказать, что пользователь является человеком. Если вы хотите сохранить простой, возможно, поле, задающее математический вопрос, например, «2 + 5?». Но это не так безопасно, как может быть уловка. Но, если возможный спам не вредит вам, это нормально.
¿Почему бы и нет? Если вопрос задан в правильном формате, он может быть намного яснее, чем klingonish captcha – Alfabravo
@Alfabravo точно, мне часто трудно читать capthcas (и да, я имею в виду вас, StackOverflow). Изображение с искаженными буквами - sooo 2006. – CodeCaster
Некоторые скрипты могут захватывать текст и решать вопрос, поэтому я указал его. –
Вы можете ввести лимит времени с IP. Поэтому, если спам-бот пытается отправить форму снова и снова (в определенный временной интервал, скажем, 1 час), запрос должен быть отклонен.
Вам нужно будет сделать это на стороне сервера, проверив и сохранив IP-адреса пользователей. Затем, когда они снова отправят форму, проверьте, действительно ли пользователь уже находится в заблокированных IP-адресах.
Это то, что StackOverflow implemented 2 года назад.
Вы можете защитить свою форму с помощью клавиш формы техники:
Без искаженным или что-то сравнимого, что невозможно действительно защитить форму от злоупотреблений.
Однако, используя эту технику, злоумышленник спамер бы
нет автоматической рассылку спама формы контакта гусеничного не делает это, насколько я знаю.
Этот метод также защищает вашу форму от нескольких закрытых представлений.
Вот пример кода:
<?php
session_start();
if (isset($_POST['form_submit'])) {
// do stuff
if (isset($_POST['formkey']) && isset($_SESSION['formkeys'][$_POST['formkey']])) {
echo "valid, doing stuff now ... "; flush();
// delete formkey from session
unset($_SESSION['formkeys'][$_POST['formkey']]);
// release session early - after committing the session data is read-only
session_write_close();
// do whatever you like with the form data here
send_contact_mail($_POST);
}
else {
echo "request invalid or timed out.";
}
}
else {
// show form with formkey
$formkey = md5("foo".microtime().rand(1,999999));
// put current formkey into list of valid form keys for the user session
if (!is_array($_SESSION['formkeys']) {
$_SESSION['formkeys'] = array();
]
$_SESSION['formkeys'][$formkey] = now();
?>
<html>
<head><title>form key</title></head>
<body>
<form method="POST">
<input type="hidden" name="PHPSESSID" value="<?=session_id()?>">
<input type="text" name="formkey"
value="<?= $formkey ?>">
<input type="submit" name="form_submit" value="Contact us!">
</form>
</body>
</html>
<?php } ?>
Спасибо. Это хорошее решение. Но это не сработает, если кто-то откроет более одной контактной формы. Пользователь не должен этого делать, поэтому в основном это хорошее решение. Я попытаюсь сделать что-то подобное на основе вашего кода, спасибо за совет. – Lucas
@ Лукас адаптировал мой код для хранения * списка допустимых ключей формы * в сеансе, чтобы реагировать на ваш прецедент с несколькими формами. Кроме того, этот подход может быть легко усилен для проверки тайм-аута. теперь ключ формы теперь хранится с отметкой времени. Единственное, что вы должны сделать, это вставить проверку, если ключи формы уже вышли из строя. – Kaii
Как вы реализуете решения выше? –
На мой взгляд, большинство сайтов (за исключением билетов продавцов и крупные сайты, такие как Google, и т.д.) может предотвратить комментарий/форма спама без капчи, используя ряд различных методы в сочетании. Недавно я создал PHP-проект с открытым исходным кодом, который реализует следующие тесты, чтобы определить, является ли представление вероятным законным или спамом.
Адрес URL проекта. Мне нравится тест Kaii выше, сделает отличный дополнительный тест для phpFormProtect. https://github.com/mccarthy/phpFormProtect
Интересный проект, спасибо за эту идею. – Lucas
Проверяйте правильность проверки на сервере, а также на стороне клиента и выполняйте почтовые функции, не сохраняйте в БД –
Защитите от чего? Если это спам-боты, тогда цель CAPTCHA - рассказать ботам от людей, поэтому все механизмы защиты ботов подпадают под этот термин. –
Связанные: http://stackoverflow.com/questions/2603363/good-form-security-no-captcha –