[security] 실용적인 비 이미지 기반 보안 문자 접근 방식?

내가 개발 하고 완벽하게 작동하는 것처럼 보이는 방법은 (아마도 당신처럼 많은 댓글 스팸을 얻지 못하더라도) 숨겨진 필드를 가지고 가짜 값으로 채우는 것입니다.

<input type="hidden" name="antispam" value="lalalala" />

그런 다음 페이지가로드 된 시간 (초)으로 초당 값을 업데이트하는 JavaScript 조각이 있습니다.

var antiSpam = function() {
        if (document.getElementById("antiSpam")) {
                a = document.getElementById("antiSpam");
                if (isNaN(a.value) == true) {
                        a.value = 0;
                } else {
                        a.value = parseInt(a.value) + 1;
                }
        }
        setTimeout("antiSpam()", 1000);
}

antiSpam();

그런 다음 양식을 제출할 때 안티 스팸 값이 여전히 “lalalala”이면 스팸으로 표시합니다. 안티 스팸 값이 정수이면 10 (초) 이상인지 확인합니다. 10 미만이면 스팸으로 표시하고 10 이상이면 통과시킵니다.

If AntiSpam = A Integer
    If AntiSpam >= 10
        Comment = Approved
    Else
        Comment = Spam
Else
    Comment = Spam

이론은 :

• 스팸 봇은 JavaScript를 지원하지 않으며 보이는 내용을 제출합니다.
• 봇이 JavaScript를 지원하면 즉시 양식을 제출합니다.
• 댓글 작성자는 게시하기 전에 적어도 일부 페이지를 읽었습니다.

이 방법의 단점은 JavaScript가 필요하다는 것입니다. JavaScript를 사용하지 않으면 주석이 스팸으로 표시되지만 스팸으로 표시된 주석을 검토하므로 문제가되지 않습니다.

의견에 대한 답변

@MrAnalogy : 서버 측 접근 방식은 상당히 좋은 생각이며 JavaScript에서 수행하는 것과 동일합니다. 좋은 전화.

@AviD :이 방법은 블로그에서 언급 한 것처럼 직접 공격을 받기 쉽다는 것을 알고 있습니다. 그러나 일반적인 스팸 봇은 맹목적으로 찾을 수있는 양식에 맹목적으로 제출합니다.

답변

  .oooooo.         oooooooo
 d8P'  `Y8b       dP"""""""
888      888     d88888b.
888      888 V       `Y88b '
888      888           ]88
`88b    d88'     o.   .88P
 `Y8bood8P'      `8bd88P'