1

Как можно защитить форму от спама, без капачи. Пока идея при заходе юзера на страницу делать md5 ип+браузер, потом записывать в скрытое поле, и проверять при субмите + проверять рефу и ип. Какие еще идеи? UPDATE

// вызов перед передачей данных
function showRequest(formData, jqForm, options) { 
// formData - массив; здесь используется $.param чтобы преобразовать его в строку для вывода в alert(),
// (только в демонстрационных целях), но в самом плагине jQuery Form это совершается автоматически.
//var queryString = $.param(formData); 
// jqForm это jQuery объект, содержащий элементы формы.
// Для доступа к элементам формы используйте 
// var formElement = jqForm[0];
//alert('Вот что мы передаем: \n\n' + queryString); 
// здесь можно вернуть false чтобы запретить отправку формы; 
// любое отличное от fals значение разрешит отправку формы.
return true; 
}

как сюда добавить изменение переменой перед отправкой?

4 ответа 4

3

Только капча! Никакие скрытые поля. Их скриптом спокойно можно взять, как и любые куки. Так что только капча! И задержка на определенное количество минут с записью ИП + время в базу.

6
  • А капачу разве не расшифровывают легко? Где-то слышал, что есть сервисы, где за копейки капачи вручную расшифровывают... могу ошибаться.
    – coderxlsn
    11 сен 2011 в 19:13
  • Есть такие сервисы. И цены там действительно копеечные. Так что капча уже не слишком действенный метод.
    – Ali
    11 сен 2011 в 19:19
  • Сделайте в одной капче разные наклоны и перевороты, например. Я вообще делал числа с поворотами и знак арифметический между ними. Надо просто решить пример. Само собой панацеи никогда не будет, но капча+задержка по времени хотя бы по ИП более действенна.
    – Grimon
    11 сен 2011 в 19:24
  • Ну и гадай, что там на этой капаче нарисовано... человек развернется и уйдет быстрей.
    – coderxlsn
    11 сен 2011 в 19:29
  • зачем гадать то. рядом инструкция. на капче числа не большие так что даже второклашка решит пример
    – Grimon
    11 сен 2011 в 19:31
1

Можно вместо графической капчи взять большой словарь вопросов:

  • Кто президент России?
  • В каком году началась Отечественная война?
  • Кто был первым космонавтом в мире?

Если словарь большой и периодически меняющийся, его будет трудно взломать. Но это однозначно дороже, чем графическая капча, поскольку надо словарь создавать и обновлять.

3
  • 1
    В случае словаря надо задавать тогда и вопросы, на которые человек не должен будет ползать по инету и думать, что это такое. Иначе просто люди плюнут на такой сайт и пойдут на другой, где можно постить, спокойнее написав буквы с капчи. Так что все равно в нее упрется он. )))
    – Grimon
    11 сен 2011 в 19:21
  • Только не пойму, как это прикрутить. Вот есть у таблица словарь... мы берем с поля вытаскиваем пример, выводим. А потом, что с чем сравниваем? Как передать ид строки, с чем сравнить ответ?
    – coderxlsn
    11 сен 2011 в 19:22
  • берете строку и ответ. ответ кладется в переменную сессии. вопрос выписывается. приходит ответ с формой он сравнивается с переменной в сессии. если верно то все нормально
    – Grimon
    11 сен 2011 в 19:26
1

Скрытые поля можно выпарсить и отправить, мне кажется что реальней будет обработка используя javascript события нажатия на кнопку отправить, и перед отправкой менять любое поле, а потом проверять его, если не правильно - значит бот, а не человек, не достаток - небудет работать с отключенны javascript

6
  • Просмотрев код, можно быстро понять концепцию, что куда меняется. А если еще и снифером просто записать пару раз заголовки, то бота сделать дело пяти минут.
    – Grimon
    11 сен 2011 в 19:08
  • Форма все равно отправляется через аякс. А как можно менять и на что? У меня есть функция, которою можно вызвать перед отправкой данных.
    – coderxlsn
    11 сен 2011 в 19:11
  • Что помешает, например, мне посмотреть код функции и создать ее в боте? И какая разница аяксом или нет, все равно поток данных один и его свободно можно подделать.
    – Grimon
    11 сен 2011 в 19:20
  • ну это уже должен быть умный бот, который должен зайти на пару страниц, читать яваскрипт + ручная подгонка под сайт.. не думаю что это будет иметь смысл под каждый сайт писать такого бота.
    – coderxlsn
    11 сен 2011 в 19:26
  • От конкретного спама вашего сайта это не защитит а вот от спама однотипных движков очень даже, потому что такую защиту можно обойти только посмотрев вручную код
    – wolfston
    11 сен 2011 в 19:27
0

Мб предложение детское, но если подумать - чем принципиально отличается человек от бота?

Для капчи - он видит текст на картинке.

Для изменения полей - он не видит то, что спрятано через css.

Еще такой вариант - человек не пишет мгновенно. То есть можно заморочиться по этому поводу. Скорость печати для секретаря-выпускника - 180 знаков/мин, 3 знака/сек. Что делаем:

Файл с формой (если каждой форме сделать ID - прбиваемость еще снизится, беру этот вариант)

<?
if (!empty($_SESSION['FORMS']['comment'])) { // если время входа установлено
$ban_speed = 180 /* символов */ / 60 /* в минуту */;
$time_watch = 30; // сек на чтение, т.е. минимальная разница между просмотром страницы и отправкой комментария
if (!empty($_POST['username']) && !empty($_POST['msg']) && !empty($_POST['comment_type'])) {
  if ($_SESSION['FORMS']['comment'] + $time_watch < time()) die('spam detected'); // если форма отправлена раньше, чем создана либо автор открыл страницу и бегом-бегом пишет - рекомендуем автору соитие с гусями
  if (strlen($_POST['msg']) < 3) die('No smilies'); // не пускаем короткий текст
  if (strlen($_POST['msg']) / $ban_speed < (int)$_POST['comment_type']) die('keyboard sprinter detected'); // если скорость печати автора больше 180 символов в минуту (это с учетом нажатия submit, де факто около 250 зн.мин) отправляем на северный полюс к медведям
  // можно принимать текст > 3 символов, который ~90% печатал человек. Можно скомбинировать с капчей и прибавить еще 5 сек на ее ввод.
  }

} // если на форму еще не заходили - игнорируем POST вообще
$_SESSION['FORMS']['comment'] = time();

?>
<script type="text/javascript">
var currentForm = false;
function startType(formid) { // включает счетчик
if (currentForm) return false;
currentForm = formid;
}
function endType() { // выключает счетчик
currentForm = false;
}

function checktype() {
if (!currentForm) return false;
document.getElementById(currentForm+'_type').value++;
}
setInterval(checktype, 1000); // таймер, прибавляет по секунде к счетчику времени формы
</script>
<form method="post">
Имя: <input type="text" name="username" /><br />
Сообщение: <br />
<textarea name="msg" onfocus="startType('comment')" onblur="endType()"></textarea>
<input type="hidden" name="comment_started" value="0" />
</form>

Естественно в этом коде скорее всего куча ошибок, т.к. писал тут. Суть должна быть ясна.

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.