To solve the first problem of the bots slamming your front page, try making the honeypot exactly the same as a real bag of crap. Make the html markup for the front page include the same markup as if it were for a bag of crap, but make it hidden. This would force the bots to include CSS engines to determine if the bag of crap code is displayed or hidden. Alternatively, you could only output this 'fake' bag of crap html a random amount of time (hours?) before a real bag of crap goes up. This would cause the bots to sound the alarm too soon (but not know how soon).

第二步是真正购买一袋垃圾，添加一些简单的问题。比起上面提到的数学问题，我更喜欢常识问题。比如，“冰是热的还是冷的?”“蚂蚁是大还是小?”当然，这些问题需要随机抽取，从无穷无尽的问题中抽取，否则机器人可以通过编程来回答这些问题。不过，这些问题仍然远没有验证码那么烦人。

想出一种识别机器人的方法如何，可能是基于IP，但不阻止他们访问网站，只是不允许他们实际购买任何东西。也就是说，如果他们买了，他们实际上并没有得到它，因为机器人违反了使用条款。

只是一个旁注:在我看来，问题是，你的用户期望的行为非常类似于一个机器人(大波来，未经认证，点击每个按钮:))，所以验证码可能是唯一能够识别它的图灵测试:))。

从没想过我会推荐闪光灯，但是闪光灯呢?不管是不是交易时间，让服务器发送异步加密内容到flash文件信号。只要响应是相同大小的交易或没有交易，机器人就不能分辨它是哪一个。

在更一般的层面上，您需要关注人类和浏览器拥有的资源，而脚本机器人没有，并利用对人类/浏览器来说容易而对机器人来说很难的东西。验证码显然是一个简单的尝试，但不适合你的网站，因为你说。Flash将淘汰大量的机器人，只留下驱动真正浏览器的(较慢的)机器人。解决方案可能比验证码简单得多，如果它只需要用户点击正确的位置。

利用人类的大规模并行图像处理能力!

根据您想要进入的复杂程度，您可以采取一些解决方案。

这些都是基于IP跟踪，在僵尸网络和云计算下有些崩溃，但应该能挫败绝大多数的僵尸。乔·兰登拥有大量机器人的可能性远远低于他只是运行一个从某处下载的Woot机器人来获取他的垃圾的可能性。

普通的节流

At a very basic, crude level, you could throttle requests per IP per time period. Do some analysis and determine that a legitimate user will access the site no more than X times per hour. Cap requests per IP per hour at that number, and bots will have to drastically reduce their polling frequency, or they'll lock themselves out for the next 58 minutes and be completely blind. That doesn't address the bot problem by itself, but it does reduce load, and increases the chance that legitimate users will have a shot at the item.

自适应调节

An variant on that solution might be to implement a load balancing queue, where the number of requests that one has made recently counts against your position in the queue. That is, if you keep slamming the site, your requests become lower priority. In a high-traffic situation like the bag of crap sales, this would give legitimate users an advantage over the bots in that they would have a higher connection priority, and would be getting pages back more quickly, while the bots continue to wait and wait until traffic dies down enough that their number comes up.

废料验证码

Third, while you don't want to bother with captchas, a captcha at the very end of the process, right before the transaction is completed, may not be a bad idea. At that point, people have committed to the sale, and are likely to go through with it even with the mild added annoyance. It prevents bots from completing the sale, which means that at a minimum all they can do is hammer your site to try to alert a human about the sale as quickly as possible. That doesn't solve the problem, but it does mean that the humans have a far, far better chance of obtaining sales than the bots do currently. It's not a solution, but it's an improvement.

以上的组合

实施基本的、慷慨的限制来阻止最滥用的机器人，同时考虑到单个公司IP背后的多个合法用户的潜力。截止数字将非常高——你引用了bot攻击你的网站10次/秒，即216万次/小时，这显然远远高于任何合法的使用量，即使是最大的公司网络或共享ip。

实现负载平衡队列，这样如果占用的服务器连接和带宽超过自己的份额，就会受到惩罚。这将惩罚共享公司池中的人，但不会阻止他们使用站点，而且他们的违规行为应该远没有您的装瓶者那么可怕，因此他们的惩罚应该不那么严重。

最后，如果您超过了每小时请求的某个阈值(这个阈值可能远远低于“自动断开连接”的截止值)，那么就要求用户使用验证码进行验证。

这样，合法使用网站的用户每小时只有84个请求，即使他们非常兴奋，也不会注意到网站速度变慢了。然而，乔·波特发现自己陷入了两难境地。他可以:

Blow out his request quota with his current behavior and not be able to access the site at all, or Request just enough to not blow the request quota, which gives him realtime information at lower traffic levels, but causes him to have massive delays between requests during high-traffic times, which severely compromises his ability to complete a sale before inventory is exhausted, or Request more than the average user and end up getting stuck behind a captcha, or Request no more than the average user, and thus have no advantage over the average user.

只有滥用的用户才会受到服务降级或复杂性增加的影响。合法用户不会注意到任何变化，除了他们更容易购买他们的垃圾包。

齿顶高

以远低于注册用户的速率限制未注册用户的请求。这样，机器人所有者就必须通过一个经过身份验证的帐户来运行机器人，以通过应该是相对严格的节流率。

然后，有创造力的装瓶者将注册多个用户id，并使用这些id来实现他们想要的查询率;您可以通过将给定时间段内来自同一IP的任何ID视为相同的ID，并接受共享节流来解决这个问题。

这使得装瓶商别无选择，只能运行一个机器人网络，每个IP一个机器人，每个机器人注册一个Woot账户。不幸的是，这实际上无法与大量未关联的合法用户区分开来。

您可以将此策略与上述一种或多种策略结合使用，目的是为没有滥用使用模式的注册用户提供最佳服务，同时根据他们的状态(匿名或已注册)以及由流量指标决定的滥用程度逐步惩罚其他用户，包括注册用户和未注册用户。

构建一个更好的机器人

市场告诉你一些事情。他们想要那袋垃圾。所以与其与脚本斗争(RIAA vs文件共享任何人?)构建一个更好的机器人。

为每个人提供一个安装的应用程序，它与脚本kidide可以组合的任何东西一样好，甚至更好。用户会安装你的品牌应用，而每次出现这种情况。应用程序会自动尝试购买。如果错过了当前的b-o-c，应用程序就有一张“门票”，让它有更好的机会进行下一次b-o-c销售。因此，如果用户滚动自己的脚本，他们就无法获得下一个b-o-c销售的“门票”，而官方应用程序的用户则可以。

在b-o-c销售之间，应用程序可以显示当前出售的物品。见鬼，让用户可以告诉woot应用程序寻找“记忆棒”

当官方的woot b-o-c+脚本应用程序一样好或不好时，谁会构建自己的脚本?

此外，woot还有另一种与客户联系的方式。

你的客户告诉你他们想要什么。