看起来我们将为Stack Overflow添加CAPTCHA支持。这对于防止机器人、垃圾邮件发送者和其他恶意脚本活动是必要的。我们只希望人类在这里发布或编辑东西!
我们将使用JavaScript (jQuery)验证码作为第一道防线:
http://docs.jquery.com/Tutorials:Safer_Contact_Forms_Without_CAPTCHAs
这种方法的优点是，对于大多数人来说，CAPTCHA永远不会可见!
然而，对于禁用JavaScript的人，我们仍然需要一个备用方案，这就是棘手的地方。
我为ASP编写了一个传统的CAPTCHA控件。NET，我们可以重复使用。
但是，我更倾向于使用一些文本化的东西，以避免为每个请求在服务器上创建所有这些图像的开销。
我见过这样的事情…
ASCII文本验证码:\/\/(_)\/\/ 数学难题:7减3乘以2等于多少? 小问题:癞蛤蟆和冰棍，哪个更好吃?
也许我只是在风车这里倾斜，但我希望有一个更少的资源密集型，非图像为基础的<noscript>兼容的验证码，如果可能的话。
想法吗?
当前回答
除非我遗漏了什么，否则使用reCAPTCHA有什么问题，因为所有的工作都是在外部完成的。
只是一个想法。
其他回答
我认为我们必须假设这个网站会经常受到有针对性的攻击，而不仅仅是一般的漂移机器人。如果它成为程序员搜索的第一个热门，它将引来大量的火力。
对我来说，这意味着任何验证码系统都不能从重复的问题列表中提取答案，而人类可以手动将这些问题输入机器人，而且机器人也猜不到。
If the main issue with not using images for the captcha is the CPU load of creating those images, it may be a good idea to figure out a way to create those images when the CPU load is "light" (relatively speaking). There's no reason why the captcha image needs to be generated at the same time that the form is generated. Instead, you could pull from a large cache of captchas, generated the last time server load was "light". You could even reuse the cached captchas (in case there's a weird spike in form submissions) until you regenerate a bunch of new ones the next time the server load is "light".
但要确保这不是谷歌能回答的问题。这也显示了一个问题——操作顺序!
我开发的一个方法，似乎工作得很完美(虽然我可能不会像你一样收到那么多评论垃圾邮件)，是有一个隐藏字段，并填充一个虚假的值，例如:
<input type="hidden" name="antispam" value="lalalala" />
然后，我有一段JavaScript，它每秒更新的值与页面已加载的秒数:
var antiSpam = function() {
if (document.getElementById("antiSpam")) {
a = document.getElementById("antiSpam");
if (isNaN(a.value) == true) {
a.value = 0;
} else {
a.value = parseInt(a.value) + 1;
}
}
setTimeout("antiSpam()", 1000);
}
antiSpam();
然后当表单提交时，如果反垃圾邮件值仍然是“lalalala”，那么我将其标记为垃圾邮件。如果反垃圾邮件值是整数，我会检查它是否大于10(秒)。如果低于10，我把它标记为垃圾邮件，如果超过10，我就让它通过。
If AntiSpam = A Integer
If AntiSpam >= 10
Comment = Approved
Else
Comment = Spam
Else
Comment = Spam
理论是:
垃圾邮件机器人不支持JavaScript，只提交它看到的内容 如果机器人支持JavaScript，它会立即提交表单 评论者在发帖前至少阅读了一些页面内容
这种方法的缺点是它需要JavaScript，如果您没有启用JavaScript，您的评论将被标记为垃圾邮件，但是，我确实会查看标记为垃圾邮件的评论，所以这不是问题。
回应评论
@MrAnalogy:服务器端方法听起来是一个很好的想法，和在JavaScript中完全一样。良好的电话。
@AviD:我知道这种方法很容易受到直接攻击，就像我在博客上提到的那样。然而，它将防御你的平均垃圾邮件机器人盲目提交垃圾的任何形式，它可以找到。
你试过http://sblam.com/en.html吗? 据我所知，这是验证码的一个很好的替代方案，而且对用户来说是完全透明的。
