At the expense of Usability by those with screen readers you could just, on 90% of the pages use unlabelled, undenotable picture buttons. Rotate the pictures regularly and use a random generator and random sorting to lay out two buttons that say "I want this" and "I am a bot". Place them side by sort in a different order. At each stage a user can make progress torwards their target but a bot is more likely to make a mistake (50% * number of steps). It's like a capture at every stage on easier for the user and slower for bots who need to prompt their master at EVERY single step. Put the price, the confirm button, the item description in pictures. It sucks but likely more successful.

我想唯一能做的就是让努力超过垃圾邮件发送者的收益。所以这是一个“头脑风暴”的想法，我不知道如何实现的所有技术细节。我必须做一些研究，但根据我目前的知识，如果其他建议的方法被拒绝，就值得调查一下。

你已经在你的网站上使用flash，那么为什么不使用一个flash控件来协助或完成表单提交呢?控件可以使用密钥对或其他算法与web服务器进行加密通信来散列值?

我想整个形式可以在闪光?就我个人而言，我会使用Java小程序，因为那是我最喜欢的语言。

免责声明:这个答案完全与编程无关。但是，它确实试图从一开始就攻击使用脚本的原因。

另一个想法是，如果你的销售数量确实有限，为什么不改变先到先得的方法呢?当然，除非炒作是你营销计划的一部分。

还有很多其他的选择，我相信其他人也能想到一些不同的选择:

an ordering queue (pre-order system) - Some scripts might still end up at the front of the queue, but it's probably faster to just manually enter the info. a raffle system (everyone who tries to order one is entered into the system) - This way the people with the scripts have just the same chances as those without. a rush priority queue - If there is truly a high perceived value, people may be willing to pay more. Implement an ordering queue, but allow people to pay more to be placed higher in the queue. auction (credit goes to David Schmitt for this one, comments are my own) - People can still use scripts to snipe in at the last minute, but not only does it change the pricing structure, people are expecting to be fighting it out with others. You can also do things to restrict the number of bids in a given time period, make people phone in ahead of time for an authorization code, etc.

为了保证只向没有脚本的人销售商品，您能否检测到在首页上显示的商品和下达的订单之间不人道的快速响应?这完全改变了延迟策略，而不是人为地通过0.5秒的延迟来限制每个人，而是尽可能快地允许请求，并打击明显是超人的机器人:)

用户点击和做出决定的速度有一些物理限制，通过在所有请求通过后进行检测(而不是故意减慢所有交互)，不会影响非脚本人员的性能。

如果只在某些时间使用验证码是可以接受的，那么可以将延迟时间增加到fast-human(而不是超人)，并且如果有人点击非常快，则要求事后确认验证码。类似于一些网站要求验证码确认，如果有人快速发布多个帖子。

遗憾的是，我不知道有什么好方法来阻止你的产品列表的屏幕抓取:(

Woot用来解决这个问题的方法正在改变游戏。当他们展示一种非常受欢迎的商品出售时，他们会让用户玩电子游戏来订购它。

这不仅能够有效地对抗机器人(它们能够轻松地对游戏进行一些小改变以避免自动玩家，甚至为每次销售提供一个新游戏)，而且还能够给用户一种“赢得”所需道具的印象，同时减缓订购过程。

它仍然很快就卖光了，但我认为解决方案是好的——重新评估问题和改变参数导致了一个成功的战略，而严格的技术解决方案根本不存在。

---

你的整个商业模式都是基于“先到先得”。你不能像广播电台那样(他们不再把第一个打电话的人视为赢家，而是把第5个、第20个或第13个打电话的人视为赢家)——这与你的主要特点不匹配。

不，如果不改变实际用户的订购体验，就无法做到这一点。

假设你实施了所有这些策略。如果我认为这很重要，我就会找100个人和我一起工作，我们会在100台不同的电脑上构建软件，每秒访问你的网站20次(每个用户/cookie/帐户/IP地址访问间隔5秒)。

你有两个阶段:

看头版 订购

你不能设置一个验证码阻塞#1 -那样会失去真正的客户(“什么?每次我想看最新的woot时，我都必须解决验证码?!?”)。

所以我的小组一起观察，计时，所以我们每秒得到大约20次检查，第一个看到变化的人会提醒所有其他人(自动)，他们将再次加载首页，遵循订单链接，并执行交易(这也可能是自动发生的，除非你实现验证码并为每次wootoff/boc更改它)。

你可以把验证码放在第2条前面，虽然你不愿意这么做，但这可能是确保即使机器人看首页，真正的用户也能得到产品的唯一方法。

但即使有验证码，我的100个小团队仍然有显著的先发优势——而且你无法分辨我们不是人类。如果你开始计时我们的访问，我们只会增加一些抖动。我们可以随机选择要刷新的计算机，这样访问顺序就会不断变化，但看起来仍然足够像人类。

首先，摆脱简单的机器人

你需要有一个自适应防火墙来监视请求，如果有人在做明显的愚蠢的事情——在同一个IP上每秒刷新一次以上，那么就采用策略来减慢他们的速度(丢弃数据包，发回拒绝或500个错误，等等)。

这将显著降低你的流量，并改变机器人用户使用的策略。

第二，让服务器非常快。

你真的不想听这个…但是…

我认为你需要的是一个完全自定义的解决方案。

您不需要打乱TCP/IP堆栈，但是您可能需要开发一个非常、非常、非常快的定制服务器，该服务器是专门用于关联用户连接并对各种攻击做出适当反应的。

Apache, lighthttpd等都很灵活，但你运行的是一个单一用途的网站，你真的需要能够做的比当前服务器所能做的更多(无论是在处理流量，还是在适当地打击机器人)。

By serving a largely static webpage (updates every 30 seconds or so) on a custom server you should not only be able to handle 10x the number of requests and traffic (because the server isn't doing anything other than getting the request, and reading the page from memory into the TCP/IP buffer) but it will also give you access to metrics that might help you slow down bots. For instance, by correlating IP addresses you can simply block more than one connection per second per IP. Humans can't go faster than that, and even people using the same NATed IP address will only infrequently be blocked. You'd want to do a slow block - leave the connection alone for a full second before officially terminating the session. This can feed into a firewall to give longer term blocks to especially egregious offenders.

但现实是，无论你做什么，当机器人是由人类为单一目的定制时，都无法将人类与机器人区分开来。机器人只是人类的代理。

结论

在一天结束的时候，你不能通过看头版来区分人类和计算机。您可以在订购步骤停止机器人，但机器人用户仍然具有先发优势，并且您仍然需要管理巨大的负载。

你可以为简单的机器人添加块，这将提高标准，更少的人会为它烦恼。这也许就足够了。

但如果不改变你的基本模型，你就不走运了。你能做的最好的事情就是处理好简单的情况，让服务器快速到普通用户注意不到的程度，并出售大量道具，即使你有数百万个机器人，许多想要它们的普通用户也会得到它们。

你可能会考虑建立一个蜜罐，并将用户帐户标记为机器人用户，但这将引起巨大的负面社区反弹。

每次我想到“好吧，这样做怎么样?”我总是可以用合适的机器人策略来对抗它。

即使你在首页设置了一个验证码来进入订购页面(“这个项目的订购按钮是蓝色的，带粉红色的火花，在这个页面的某个地方”)，机器人也会简单地打开页面上的所有链接，并使用返回订购页面的任何一个链接。这根本不可能赢。

提高服务器的速度，在订购页面上输入reCaptcha(这是我发现的唯一一个不容易被愚弄的方法，但对你的应用程序来说可能太慢了)，并考虑如何稍微改变模型，让普通用户有和机器人用户一样好的机会。

亚当

引入一种需要人类互动的延迟，就像一种“验证码游戏”。例如，这可能是一款Flash小游戏，玩家必须在30秒内爆开格子球，并避免爆开实心球(避免色盲问题!)游戏将获得一个随机数种子，游戏将向服务器传输点击点的坐标和时间戳，以及使用的种子。

在服务器上，你可以使用种子来模拟游戏机制，看看点击是否真的会击破球。如果他们这样做了，他们不仅是人类，而且还会花30秒来验证自己。给他们一个会话id。

你让会话id做它喜欢做的事情，但是如果发出太多请求，它们就不能继续，除非再次播放。