首先，根据定义，它不可能支持无状态，即真正匿名的事务，同时还能够将机器人与合法用户分开。

如果我们可以接受这样一个前提，即我们可以在一个全新的woot访问者的第一页点击上强加一些成本，我想我有一个可能的解决方案。由于没有更好的名称，我将粗略地称这种解决方案为“访问DMV”。

假设有一家汽车经销商每天提供一辆不同的新车，在某些日子里，你可以以每辆5美元的价格购买一辆异国情调的跑车(最多3辆)，外加5美元的目的地费。

问题是，经销商要求你去经销商处并出示有效的驾驶执照，然后你才能被允许通过门查看正在出售的汽车。此外，你必须说有效的驾驶执照才能购买。

因此，第一次来这家汽车经销商的游客(让我们叫他鲍勃)会被拒绝进入，并被推荐到DMV办公室(就在隔壁，很方便)获得驾驶执照。

其他持有效驾驶执照的旅客出示驾驶执照后，方可进入。一个整天在店里闲逛、纠缠推销员、抢宣传册、喝光免费赠送的咖啡和饼干的人最终会被拒之门外。

现在，回到没有驾照的鲍勃，他所要做的就是忍受一次车管所的访问。在那之后，他可以随时去经销商那里买车，除非他不小心把钱包落在家里了，或者他的驾照被销毁或吊销了。

在这个世界上，驾照几乎是不可能伪造的。

去车管所首先要在“从这里开始”的队列处领取申请表。Bob必须把填好的申请拿到窗口1，在那里，许多脾气暴躁的公务员中的第一个会拿着他的申请，处理它，如果一切正常，就在窗口的申请上盖章，然后把他送到下一个窗口。于是，鲍勃从一个窗口走到另一个窗口，等待他的申请的每一步通过，直到最后他拿到了他的驾驶执照。

试图“短路”车管所是没有意义的。如果表单一式三份没有正确填写，或者在任何窗口中给出错误的答案，应用程序将被销毁，倒霉的客户将被送回起点。

有趣的是，无论办公室是满是空，每个窗口的服务时间都差不多。即使你是唯一一个排队的人，工作人员似乎也喜欢让你在黄线后面等一分钟，然后才说:“下一个!”

然而，车管所的情况并没有那么糟糕。当所有的等待和获得许可证的过程正在进行时，你可以在DMV大厅观看一个非常有趣和有信息的汽车经销商的电视购物。事实上，该信息购物的运行时间仅够覆盖您获得许可证所花费的时间。

更专业一点的解释是:

正如我在最上面所说的，在客户机-服务器关系上有一定的状态性是必要的，它允许您将人类与机器人分开。您希望以一种不会过度惩罚匿名(未经过身份验证)人类访问者的方式进行操作。

这种方法可能需要AJAX-y客户端处理。一个全新的woot访问者会看到一个“欢迎新用户!”页面，其中充满了文本和图形(通过适当的服务器端调整)，需要几秒钟才能完全加载。在此过程中(访问者可能正忙着阅读欢迎页面)，他的标识令牌正在慢慢地组装起来。

Let's say, for discussion, the token (aka "driver's license) consists of 20 chunks. In order to get each successive chunk, the client-side code must submit a valid request to the server. The server incorporates a deliberate delay (let's say 200 millisecond), before sending the next chunk along with the 'stamp' needed to make the next chunk request (i.e., the stamps needed to go from one DMV window to the next). All told, about 4 seconds must elapse to finish the chunk-challenge-response-chunk-challenge-response-...-chunk-challenge-response-completion process.

在这个过程的最后，访问者拥有一个令牌，该令牌允许他进入产品描述页面，然后进入购买页面。令牌是每个访问者的唯一ID，可以用来限制他的活动。

在服务器端，您只接受来自具有有效令牌的客户机的页面视图。或者，如果每个人最终都能看到页面很重要，那么对缺少有效令牌的请求设置时间惩罚。

现在，为了使这对合法的人类访问者来说相对无害，我们不要让令牌发行过程在后台相对非侵入性地发生。因此，欢迎页面需要带有有趣的文字和故意放慢速度的图形。

这种方法迫使机器人要么使用现有的令牌，要么使用最少的设置时间来获得新的令牌。当然，这对使用分布式假访问者网络的复杂攻击没有太大帮助。

我认为你最好的选择是关注即将到来的IP，但要从几个方面缓解你提到的问题。首先，使用概率散列(例如，Bloom Filter)来标记之前见过的IP。这类算法非常快，并且可以很好地扩展到绝对庞大的集合大小。其次，使用渐变响应，即服务器延迟添加到每个请求中，根据您“最近”看到该IP的次数来预测。

首先，让我回顾一下我们需要做的事情。我意识到我只是在转述最初的问题，但重要的是我们要百分之百地理解这个问题，因为有很多很好的建议，4个中有2个或3个是正确的，但正如我将演示的那样，您将需要一个多方面的方法来满足所有的需求。

要求1:摆脱“机器人抨击”:

首页的快速“猛击”正在损害网站的性能，这是问题的核心。这种“猛击”既来自单ip机器人，也可能来自僵尸网络。我们想把两者都去掉。

要求二:不要破坏用户体验:

我们可以通过实施一个讨厌的验证程序来有效地解决机器人的情况，比如打电话给操作员，解决一堆验证码，或类似的问题，但这就像强迫每个无辜的飞机乘客跳过疯狂的安全圈，只是为了抓住最愚蠢的恐怖分子的渺茫机会。哦，等等，我们真的这么做了。但让我们看看在woot.com上能否做到这一点。

要求三:避免“军备竞赛”

正如您所提到的，您不希望卷入垃圾邮件机器人军备竞赛。因此，您不能使用隐藏或混乱的表单字段、数学问题等简单的调整，因为它们本质上是可以简单地自动检测和规避的模糊度量。

需求4:挫败“警报”机器人:

这可能是您的要求中最困难的。即使我们可以进行有效的人类验证挑战，机器人仍然可以在你的首页上投票，并在有新报价时提醒编剧。我们也想让那些机器人变得不可行。这是第一个需求的更强版本，因为机器人不仅不能发出破坏性能的快速请求——它们甚至不能发出足够多的重复请求来及时向脚本人员发送“警报”以赢得报价。

好，让我们看看是否能满足这四个条件。首先，正如我提到的，没有一种测量方法能达到目的。你将不得不结合一些技巧来实现它，你将不得不忍受两个烦恼:

少数用户将被要求经历重重考验 少数用户将无法获得特别优惠

我知道这些都很烦人，但如果我们能让“小”的数字足够小，我希望你会同意利大于弊。

第一个措施:基于用户的节流:

这个很简单，我相信你已经做过了。如果用户已登录，并保持每秒刷新600次(或其他)，您将停止响应并告诉他冷却。事实上，你可能会更早地限制他的请求，但你明白我的意思。这样，一个登录的机器人将被禁止/节流一旦它开始投票你的网站。这是简单的部分。那些未经验证的机器人才是我们真正的问题，下面就来谈谈它们:

第二个措施:某种形式的知识产权限制，正如几乎所有人都建议的那样:

No matter what, you will have to do some IP based throttling to thwart the 'bot slamming'. Since it seems important to you to allow unauthenticated (non-logged-in) visitors to get the special offers, you only have IPs to go by initially, and although they're not perfect, they do work against single-IP bots. Botnets are a different beast, but I'll come back to those. For now, we will do some simple throttling to beat rapid-fire single-IP bots. The performance hit is negligable if you run the IP check before all other processing, use a proxy server for the throttling logic, and store the IPs in a memcached lookup-optimized tree structure.

第三种方法:用缓存的响应掩盖油门:

With rapid-fire single-IP bots throttled, we still have to address slow single-IP bots, ie. bots that are specifically tweaked to 'fly under the radar' by spacing requests slightly further apart than the throttling prevents. To instantly render slow single-IP bots useless, simply use the strategy suggested by abelenky: serve 10-minute-old cached pages to all IPs that have been spotted in the last 24 hours (or so). That way, every IP gets one 'chance' per day/hour/week (depending on the period you choose), and there will be no visible annoyance to real users who are just hitting 'reload', except that they don't win the offer. The beauty of this measure is that is also thwarts 'alarm bots', as long as they don't originate from a botnet. (I know you would probably prefer it if real users were allowed to refresh over and over, but there is no way to tell a refresh-spamming human from a request-spamming bot apart without a CAPTCHA or similar)

第四项措施:

You are right that CAPTCHAs hurt the user experience and should be avoided. However, in _one_ situation they can be your best friend: If you've designed a very restrictive system to thwart bots, that - because of its restrictiveness - also catches a number of false positives; then a CAPTCHA served as a last resort will allow those real users who get caught to slip by your throttling (thus avoiding annoying DoS situations). The sweet spot, of course, is when ALL the bots get caught in your net, while extremely few real users get bothered by the CAPTCHA. If you, when serving up the 10-minute-old cached pages, also offer an alternative, optional, CAPTCHA-verified 'front page refresher', then humans who really want to keep refreshing, can still do so without getting the old cached page, but at the cost of having to solve a CAPTCHA for each refresh. That is an annoyance, but an optional one just for the die-hard users, who tend to be more forgiving because they know they're gaming the system to improve their chances, and that improved chances don't come free.

第五种方法:诱饵废话:

Christopher Mahan had an idea that I rather liked, but I would put a different spin on it. Every time you are preparing a new offer, prepare two other 'offers' as well, that no human would pick, like a 12mm wingnut for $20. When the offer appears on the front page, put all three 'offers' in the same picture, with numbers corresponding to each offer. When the user/bot actually goes on to order the item, they will have to pick (a radio button) which offer they want, and since most bots would merely be guessing, in two out of three cases, the bots would be buying worthless junk. Naturally, this doesn't address 'alarm bots', and there is a (slim) chance that someone could build a bot that was able to pick the correct item. However, the risk of accidentally buying junk should make scripters turn entirely from the fully automated bots.

第六项措施:僵尸网络节流:

(删除)

Okay............ I've now spent most of my evening thinking about this, trying different approaches.... global delays.... cookie-based tokens.. queued serving... 'stranger throttling'.... And it just doesn't work. It doesn't. I realized the main reason why you hadn't accepted any answer yet was that noone had proposed a way to thwart a distributed/zombie net/botnet attack.... so I really wanted to crack it. I believe I cracked the botnet problem for authentication in a different thread, so I had high hopes for your problem as well. But my approach doesn't translate to this. You only have IPs to go by, and a large enough botnet doesn't reveal itself in any analysis based on IP addresses.

所以你知道了，第六小节是零。没什么。邮政编码。除非僵尸网络很小，或者足够快，可以被通常的IP限制，否则我不认为有任何有效的措施可以对抗僵尸网络，而不涉及明确的人类验证，如CAPTHAs。我很抱歉，但我认为结合以上五种方法是你最好的选择。你可能只需要abelenky的10分钟缓存技巧就可以了。

让浏览网站变得昂贵。

没有办法，我知道，可以保持一个机器人出你的网站。我甚至知道一种服务，有人为你扫描网站。你会怎么处理?

对于机器人来说，最糟糕的事情是，当站点发生变化时。过了一段时间，让机器人继续运行会变得昂贵或无聊。你的网站上可能有更新，看起来像一个新产品，但实际上不是。如果你的更新不规律且不可预测，那么对于机器人来说，事情就会变得非常困难。

禁用IP可能是一种对策，只要它是一个已知的IP。违法者需要使用代理。我所知道的代理工作得很好，但会大大减慢您的速度。

2件事:

服务器层解决方案:mod_eveful(如果你使用apache)

http://www.zdziarski.com/projects/mod_evasive/

前端解决方案:反向验证码，或其他非侵入式验证码

http://www.ccs.uottawa.ca/webmaster/reverse-captcha.html

我建议使用基于防火墙的解决方案。Netfilter/iptables与大多数防火墙一样，允许您设置单位时间内新页面请求的最大数量。

例如，为了限制分配给人类的页面视图的数量——比如说，每30秒6次请求——你可以发布以下规则:

iptables -N BADGUY
iptables -t filter -I BADGUY -m recent --set --name badguys

iptables -A INPUT -p tcp --dport http -m state --state NEW -m recent --name http --set
iptables -A INPUT -p tcp --dport http -m state --state NEW -m recent --name http --rcheck --seconds 30 --hitcount 6 -j BADGUY
iptables -A INPUT -p tcp --dport http -m state --state NEW -m recent --name http --rcheck --seconds  3 --hitcount 2 -j DROP

请注意，此限制将独立应用于每个访问者，因此一个用户滥用网站不会影响其他访问者。

希望这能有所帮助!