问:你如何阻止脚本写手在一秒钟内上百次地攻击你的网站? A:你不需要。外部代理无法阻止这种行为。

你可以使用大量的技术来分析传入的请求，并尝试启发式地确定谁是人，谁不是人……但它会失败。最终，即使不是马上。

唯一可行的长期解决方案是改变游戏，使网站不再对机器人友好，或者减少对编剧的吸引力。

你是怎么做到的?那是另一个问题了!: -)

...

好吧，上面已经给出了一些选项(并拒绝了)。我对你的网站不是很熟悉，只看过一次，但由于人们可以阅读图像中的文本，而机器人无法轻松做到这一点，所以将公告更改为图像。不是验证码，只是一个图像-

generate the image (cached of course) when the page is requested keep the image source name the same, so that doesn't give the game away most of the time the image will have ordinary text in it, and be aligned to appear to be part of the inline HTML page when the game is 'on', the image changes to the announcement text the announcement text reveals a url and/or code that must be manually entered to acquire the prize. CAPTCHA the code if you like, but that's probably not necessary. for additional security, the code can be a one-time token generated specifically for the request/IP/agent, so that repeated requests generate different codes. Or you can pre-generate a bunch of random codes (a one-time pad) if on-demand generation is too taxing.

运行真实的人对这个问题的响应的时间试验，并忽略('哎呀，发生错误，对不起!请再试一次’)的反应比一半的时间要快。此事件还应该触发警报，提醒开发者至少有一个机器人已经弄清楚了代码/游戏，所以是时候修改代码/游戏了。

继续定期地改变游戏，即使没有机器人触发它，这只是在浪费编剧的时间。最终，编剧会厌倦这款游戏，去别的地方……我们希望;-)

最后一个建议:当你的主页收到请求时，把它放到一个队列中，然后在一个单独的进程中按顺序响应请求(你可能不得不入侵/扩展web服务器来做到这一点，但这可能是值得的)。如果来自同一IP/代理的另一个请求进入，而第一个请求在队列中，忽略它。这将自动减轻机器人的负载。

编辑:另一种选择，除了使用图像，是使用javascript来填写购买/不购买的文本;机器人很少解释javascript，所以他们不会看到它

Restrict the times at which you release offers: For example: only from 7 minutes to 8 minutes past the start of an hour. Do not deviate from this, and give penalties on the order of a couple seconds to IPs which check a lot in the half hour before the release time. It then becomes advantageous for bot owners to only screen scrape for a couple minutes every hour instead of all. the. time. Also, because a normal person can check a site once every hour but not every second, you put normal people on a much more even footing with the bots.

饼干: 使用仅由唯一ID(数据库表的键)组成的跟踪cookie。对没有cookie的客户端、无效cookie、使用新IP的相同cookie的客户端或频繁使用cookie的客户端给予“发布延迟”。

识别可能的机器人: cookie将导致机器人为它们控制的每个IP请求多个cookie，这是可以跟踪的行为。只有一个发出的cookie的ip很可能是普通的客户端。有许多发出cookie的ip要么是大型NAT-ed网络，要么是一个机器人。我不知道你会如何区分这些，但公司可能更有可能拥有DNS服务器、网页之类的东西。

想出一种识别机器人的方法如何，可能是基于IP，但不阻止他们访问网站，只是不允许他们实际购买任何东西。也就是说，如果他们买了，他们实际上并没有得到它，因为机器人违反了使用条款。

CAPTCHA的问题在于，当你在Woot上看到垃圾促销时，作为消费者，如果你希望收到你的垃圾包，你就必须迅速采取行动。所以，如果你要使用一种形式的验证码，对客户来说必须非常快。

What if you had a large image, say 600 x 600 that was just a white background and dots of different colors or patterns randomly placed on the image. The image would have an image map on it. This map would have a link mapped to small chunks of the image. Say, 10 x 10 blocks. The user would simply have to click on the specific type of dot. It would be quick for end the user and it would somewhat difficult for a bot developer to code. But this alone may not be that difficult for a good bot creator to get past. I would add ciphered URLs.

以前我在开发一个系统，可以对url进行加密。如果这些页面上的每个URL都用随机的IV加密，那么它们对机器人来说都是唯一的。我设计这个是为了迷惑探测机器人。我还没有完成的技术，但我有一个小网站编码，功能在这个庄园。

虽然这些建议并不是一个完整的解决方案，但它们会使构建一个工作机器人变得更加困难，同时仍然易于人类使用。

可能没有好的解决方案，只要这袋垃圾的意外分布只与一个时间点挂钩——因为机器人有足够的时间和资源，以短时间间隔不断撞击网站。

我认为你必须添加一个额外的标准，即机器人不能从它们的一端进行屏幕抓取或操作。例如，在任何时候，有5000人每分钟多次访问页面，寻找这袋垃圾，每秒钟有50个机器人敲打页面。在它出现后的几秒钟内，50个机器人就会把它抢购一空。

因此，您可以添加一个条件，即垃圾首先出现在任何用户的整数IP的模量30是一个随机数，比如17。也许每秒钟都会添加一个随机数，所以这些废话会在30秒内逐步向所有客户端显示。

现在想象一下前几秒钟会发生什么:目前，所有50个机器人都能立即抢购所有垃圾，而人类得到0。在这个方案下，6秒后只有10个机器人通过了，而1000个人类通过了，大部分垃圾都流向了人类。你可以根据用户数量和可用单位调整时间和随机模数来优化间隔。

Not a perfect solution, but an improvement. The upside is many more humans than bots will benefit. There are several downsides, mainly that not every human gets an equal shot at the crap on any particular day - though they don't have much of a shot now, and I'd guess even without bots, most of them get shut out at random unless they happen to refresh at just the right second. And, it wouldn't work on a botnet with lots of distributed IPs. Dunno if anyone's really using a botnet just for woot crap though.

如果我理解正确的话，你们最大的问题是屏幕抓取，而不是自动购买本身。

如果是这样，最有效的步骤是通过随机编码页面来击败屏幕抓取，这样它看起来是相同的(某种程度上)，但在代码级别上总是不同的。(使用十六进制编码，Java编码，图片，改变周边代码结构…)

这将迫使他们不断重写抓取代码，从而使他们自动购买你的“垃圾”变得更加昂贵。如果他们能做到的话。他们可能会继续访问你的网站一段时间，直到他们意识到他们不能从中获得任何东西，然后放弃它。

把机器人搞得一团糟的缺点是，它也会把搜索引擎爬虫搞得一团糟。