表单机器人验证通用方案

概述

本文档总结了 Web 表单中防止机器人提交的通用技术方案，包括蜜罐、验证码、行为分析等多种方法的原理、实现和适用场景。

---

1. 蜜罐技术（Honeypot）

原理

在表单中添加一个对人类用户隐藏的字段，机器人通常会填充所有字段。如果该字段有值，则判定为机器人。

实现方式

前端实现

<!-- 方法 1: CSS 隐藏 -->
<input type="text" name="website" style="display: none;" />

<!-- 方法 2: aria-hidden 属性 -->
<input type="text" name="address" aria-hidden="true" />

<!-- 方法 3: 绝对定位隐藏 -->
<input type="text" name="company" 
       style="position: absolute; left: -9999px;" />

后端验证

// Node.js/Express
app.post('/api/form', (req, res) => {
    const { website, address, ...formData } = req.body;
    
    // 如果蜜罐字段有值，拒绝提交
    if (website || address) {
        return res.status(400).json({ error: '机器人检测' });
    }
    
    // 处理正常表单数据
    saveToDatabase(formData);
});

// Next.js API Route
export async function POST(request: NextRequest) {
    const { userText, ...formData } = await request.json();
    
    if (userText) {
        return error("请不要使用机器人提交");
    }
    
    // 处理表单数据
}

优点

• ✅ 对人类用户完全无感知
• ✅ 无需额外服务或 API 调用
• ✅ 实现简单，性能开销小
• ✅ 可以添加多个蜜罐字段提高准确性

缺点

• ⚠️ 对高级机器人无效（能识别 CSS 隐藏）
• ⚠️ 屏幕阅读器用户可能受影响
• ⚠️ 无法防止手动机器人（用户脚本）

最佳实践

1. 使用常见字段名：website、address、company、phone 等
2. 多个蜜罐字段：增加检测准确性
3. 结合时间检测：表单提交时间过短（< 3秒）也判定为机器人
4. 字段值检测：检查字段值是否包含 URL、特殊字符等

适用场景

• 普通留言表单
• 联系我们表单
• 注册/登录表单
• 评论系统

---

2. reCAPTCHA（Google）

原理

Google reCAPTCHA 通过分析用户行为（鼠标移动、点击模式、浏览器指纹等）来判断是否为人类。

版本对比

reCAPTCHA v2

• "我不是机器人" 复选框
• 有时需要点击图片验证
• 用户体验：中等

reCAPTCHA v3

• 完全后台运行，无需用户操作
• 返回 0.0-1.0 的分数（1.0 = 人类）
• 用户体验：最佳

reCAPTCHA Enterprise

• 专为企业设计
• 提供更多风险分析指标
• 需要付费

实现示例

<!-- 前端 -->
<script src="https://www.google.com/recaptcha/api.js" async defer></script>

<div class="g-recaptcha" data-sitekey="your-site-key"></div>

// 后端验证
async function verifyRecaptcha(token: string) {
    const response = await fetch(
        `https://www.google.com/recaptcha/api/siteverify?secret=${SECRET_KEY}&response=${token}`
    );
    const data = await response.json();
    
    if (data.success && data.score > 0.5) {
        // 通过验证
        return true;
    }
    return false;
}

优点

• ✅ 准确率高（99%+）
• ✅ Google 持续维护和更新
• ✅ v3 完全无感知
• ✅ 被广泛信任

缺点

• ⚠️ 需要注册 Google 账号
• ⚠️ 数据发送到 Google（隐私考虑）
• ⚠️ 可能被屏蔽（某些地区无法访问）
• ⚠️ 有请求频率限制

适用场景

• 电商网站
• 金融类网站
• 高安全需求的表单
• 用户注册/登录

---

3. hCaptcha

原理

reCAPTCHA 的开源替代方案，由 Privacy by Design 基金会维护。

特点

• ✅ 开源且隐私友好
• ✅ 数据存储在欧洲（GDPR 合规）
• ✅ 提供免费层
• ✅ API 与 reCAPTCHA 兼容

实现

// 与 reCAPTCHA 类似
<script src="https://hcaptcha.com/1/api.js" async defer></script>

<div class="h-captcha" data-sitekey="your-site-key"></div>

优点

• ✅ 隐私保护更好
• ✅ 开源可审计
• ✅ 无 Google 依赖
• ✅ 支持自定义挑战

缺点

• ⚠️ 生态不如 reCAPTCHA 成熟
• ⚠️ 文档相对较少

适用场景

• 注重隐私的网站
• 欧洲市场网站
• 开源项目

---

4. 问题验证（Question CAPTCHA）

原理

在表单中添加简单问题，只有人类用户能正确回答。

实现

// 随机生成问题
const questions = [
    { q: "1 + 1 = ?", a: "2" },
    { q: "天空是什么颜色？", a: "蓝色" },
    { q: "今天是星期几？", a: new Date().toLocaleString('zh-CN', { weekday: 'long' }) }
];

// 前端
<input type="text" name="captcha" placeholder="回答问题：1 + 1 = ?" />

// 后端
const userAnswer = req.body.captcha?.toLowerCase().trim();
const correctAnswer = questions[0].a.toLowerCase().trim();

if (userAnswer !== correctAnswer) {
    return error("验证码答案错误");
}

优点

• ✅ 完全自定义
• ✅ 无需第三方服务
• ✅ 可以本地化
• ✅ 无外部依赖

缺点

• ⚠️ 机器人可以训练回答简单问题
• ⚠️ 需要维护问题库
• ⚠️ 多语言支持复杂

最佳实践

1. 混合题型：数学题、逻辑题、常识题
2. 动态生成：使用时间、日期等动态信息
3. 多因素验证：结合其他验证方式

适用场景

• 本地化网站
• 无需高安全性的表单
• 预算有限的项目

---

5. 时间检测（Time-based）

原理

分析表单提交时间，人类用户通常需要一定时间阅读和填写表单。

实现

// 前端：记录表单加载时间
let formLoadTime = Date.now();

// 表单提交时
<input type="hidden" name="form_load_time" value={formLoadTime} />

// 后端验证
const submitTime = Date.now();
const loadTime = parseInt(req.body.form_load_time);
const duration = (submitTime - loadTime) / 1000; // 秒

// 如果提交时间少于 3 秒，可能是机器人
if (duration < 3) {
    return error("提交速度过快，请重试");
}

优点

• ✅ 无需额外 UI
• ✅ 对用户透明
• ✅ 实现简单

缺点

• ⚠️ 无法区分快速的人类用户
• ⚠️ 机器人可以添加延迟

最佳实践

• 设置合理阈值：3-5 秒
• 结合其他验证：不要单独使用
• 记录统计：分析正常提交时间分布

---

6. 频率限制（Rate Limiting）

原理

限制同一 IP 或用户在一定时间内的表单提交次数。

实现

// Next.js Middleware
import { NextRequest, NextResponse } from 'next/server';

export function middleware(request: NextRequest) {
    const ip = request.ip || request.headers.get('x-forwarded-for') || 'unknown';
    const url = request.url;
    
    // 简单实现（生产环境应使用 Redis）
    const rateLimit = getRateLimit(ip);
    
    if (rateLimit.count > 10) { // 10次/分钟
        return NextResponse.json({ error: '请求过于频繁' }, { status: 429 });
    }
    
    rateLimit.count++;
    saveRateLimit(ip, rateLimit);
}

// 或使用第三方库
import rateLimit from 'express-rate-limit';

const limiter = rateLimit({
    windowMs: 60 * 1000, // 1分钟
    max: 10, // 最多10次请求
    message: '请求过于频繁，请稍后再试'
});

app.use('/api/form', limiter);

优点

• ✅ 防止暴力攻击
• ✅ 保护服务器资源
• ✅ 可以自定义规则

缺点

• ⚠️ 可能误伤正常用户
• ⚠️ IP 可能被共享（NAT）

最佳实践

1. 分级限制：不同接口不同限制
2. 渐进式验证：超过限制后要求验证码
3. 白名单机制：重要用户不受限制

---

7. 行为分析（Behavioral Analysis）

原理

分析用户与页面的交互行为（鼠标移动、滚动、点击等）来判断是否为人类。

实现

// 前端收集行为数据
const behavioralData = {
    mouseMoves: 0,
    scrollDepth: 0,
    formFocusTime: 0,
    keystrokes: [],
    clickPositions: []
};

document.addEventListener('mousemove', () => {
    behavioralData.mouseMoves++;
});

document.addEventListener('scroll', () => {
    behavioralData.scrollDepth = window.scrollY;
});

// 提交时发送行为数据
fetch('/api/verify-behavior', {
    method: 'POST',
    body: JSON.stringify(behavioralData)
});

服务

• FingerprintJS：浏览器指纹识别
• Clearbit：行为分析
• Datadome：Web 应用防火墙
• Akamai：高级防护

优点

• ✅ 高度准确
• ✅ 可检测高级机器人
• ✅ 实时分析

缺点

• ⚠️ 实现复杂
• ⚠️ 需要第三方服务（通常付费）
• ⚠️ 可能影响性能

适用场景

• 电商平台
• 金融网站
• 高价值用户注册

---

8. 机器学习检测

原理

使用机器学习模型分析表单数据和用户行为，预测是否为机器人。

实现

// 使用 TensorFlow.js
import * as tf from '@tensorflow/tfjs';

// 加载训练好的模型
const model = await tf.loadLayersModel('/model/model.json');

// 预测
const prediction = model.predict(tf.tensor2d([formData]));
const isBot = prediction.dataSync()[0] > 0.8;

优点

• ✅ 可以学习和适应
• ✅ 准确率高
• ✅ 可以检测新型机器人

缺点

• ⚠️ 需要训练数据
• ⚠️ 实现复杂
• ⚠️ 计算资源消耗大

---

9. 混合验证方案

推荐组合

低风险表单（评论、留言）

蜜罐 + 时间检测

中风险表单（注册、登录）

蜜罐 + 时间检测 + 频率限制

高风险表单（支付、敏感操作）

reCAPTCHA v3 + 蜜罐 + 行为分析 + 频率限制

实现示例

export async function POST(request: NextRequest) {
    const formData = await request.json();
    
    // 1. 蜜罐检测
    if (formData.website || formData.address) {
        return error("机器人检测");
    }
    
    // 2. 时间检测
    const duration = Date.now() - formData.formLoadTime;
    if (duration < 3000) {
        return error("提交速度过快");
    }
    
    // 3. reCAPTCHA 验证
    const recaptchaResult = await verifyRecaptcha(formData.token);
    if (!recaptchaResult) {
        return error("验证码验证失败");
    }
    
    // 4. 频率限制
    if (isRateLimited(request.ip)) {
        return error("请求过于频繁");
    }
    
    // 所有验证通过，处理表单
    return success("提交成功");
}

---

10. 选择建议

根据场景选择

场景	推荐方案	理由
博客评论	蜜罐 + 时间检测	简单有效，用户无感知
用户注册	蜜罐 + reCAPTCHA v3	平衡安全和体验
电商下单	reCAPTCHA Enterprise + 行为分析	高安全需求
联系表单	蜜罐 + 频率限制	防止垃圾邮件
管理后台	IP 白名单 + 频率限制	内部使用

成本对比

方案	实现成本	运维成本	效果
蜜罐	⭐	⭐	⭐⭐
时间检测	⭐	⭐	⭐⭐
问题验证	⭐⭐	⭐	⭐⭐
频率限制	⭐⭐	⭐⭐	⭐⭐⭐
reCAPTCHA	⭐⭐	⭐	⭐⭐⭐⭐
hCaptcha	⭐⭐	⭐	⭐⭐⭐⭐
行为分析	⭐⭐⭐⭐	⭐⭐⭐	⭐⭐⭐⭐⭐
机器学习	⭐⭐⭐⭐⭐	⭐⭐⭐⭐	⭐⭐⭐⭐⭐

---

11. 最佳实践总结

1. 分层防护

• 第一层：蜜罐（快速过滤）
• 第二层：时间检测（简单过滤）
• 第三层：验证码（人工验证）
• 第四层：行为分析（高级防护）

2. 渐进式验证

正常提交 → 通过
可疑提交 → 要求验证码
高风险提交 → 拒绝 + 记录日志

3. 用户体验优先

• 尽量使用无感知验证（蜜罐、时间检测）
• 避免频繁要求验证码
• 提供清晰的错误提示

4. 监控和分析

• 记录所有提交日志
• 分析提交模式
• 定期更新验证规则

5. 法律合规

• 遵守 GDPR（欧洲）
• 遵守隐私政策
• 明确告知用户数据使用

---

12. 参考资源

开源项目

• hCaptcha - reCAPTCHA 开源替代
• Turnstile - Cloudflare 的验证码
• BotGuard - 开源机器人检测

服务提供商

• Google reCAPTCHA
• Cloudflare Turnstile
• hCaptcha
• Datadome
• FingerprintJS

文档

• reCAPTCHA 文档
• hCaptcha 文档
• Cloudflare Turnstile

---

本文由萧兮的博客原创发布，欢迎转载，转载务必保留原文链接。

萧兮的博客：https://www.20010515.xyz · 原文：https://www.20010515.xyz/posts/19b4394e-94d0-4c04-b94a-35b9e708ccf3