Ochrana formulářů proti spamu
Pokud je na stránkách formulář, který slouží pro odesílání informací e-mailem, je potřeba ho zabezpečit proti e-mailovému spamu. Pokud se text z formuláře někde zobrazuje, je oblíbeným terčem tzv. komentářových spamerů. Ti spamují proto, aby se na webu objevil odkaz na jejich stránky. Pokud bude odkaz aktivní a zvýší jim tedy PageRank, tím lépe, ale spokojí se i s prostým zobrazením odkazu, který si třeba také někdo ručně otevře. Proto je neodradí zvýrazňování odkazů s využitím rel="nofollow", jejich nezvýrazňování, ani dodatečné mazání těchto komentářů a je potřeba se proti nim bránit jinak. Jednu primitivní metodu ochrany formulářů proti komentářovému spamu už jsem ukazoval, doba nicméně pokročila, spameři se zdokonalili a jednoduché metody obrany už nezabírají. Mezi ty mohlo patřit schválení příspěvku po přesměrování ze stránky pro uložení, generování náhodného řetězce a jeho ukládání do session proměnné nebo kontrola příliš rychlého nebo naopak pomalého odeslání formuláře.
V současnosti je asi nejoblíbenější chtít po uživateli zadat odpověď na jednoduchou otázku a protože se roboti ještě nenaučili zpracovat JavaScript, tak tuto odpověď za uživatele automaticky vyplnit a otázku skrýt. Skrývání se obvykle dělá pomocí stylu, jednodušší na vytvoření a použitelnější pro lidi s vypnutými styly je ale využít značku <noscript>:
<noscript><p>Vyplňte nospam: <input name="robot" size="6" /></p></noscript>
<script type="text/javascript">
document.write('<input type="hidden" name="robot" value="no' + 'spam" />');
</script>
Před uložením formuláře pak stačí ověřit hodnotu formulářového pole robot. Otázka samozřejmě může být složitější nebo pro každého uživatele jiná, např. nějaká početní operace, princip ale zůstává stejný.
Touto metodou se dá proti současným robotům efektivně bránit a plnohodnotná obrázková CAPTCHA by tak byla potřeba pouze v případě, kdy by se naše stránky stávaly cílem specializovaného útoku. Ale je potřeba pamatovat na to, že i řada obrázků se dá přečíst automaticky.
Jakub Vrána, Řešení problému
Diskuse
kahi:
Milý článek, zvlášť když jsem řešení stejného problému věnoval předchozí hodinu, a výsledkem bylo řešení podobné Vašemu, jen o poznání méně elegantní. Přesto díky :-).
dgx:
Rozhodně doporučuji pole nenazývat "robot", ale nejlépe třeba "email".
dgx: Pavel:
Díky určitě využiju, protože doteď tam mám ať uživatel napíši nějakou číslici 0-9, ale tohle se mi zda alegantnější. DíkyPachollini:
Osobně se mi osvědčil keyword blacklist. Nejúčinnější pro filtrování se mi jeví "<a href=" a "[url". Lidi takovou pitomost do formuláře, který to evidnentě nepodporuje, nikdy nenapíšou.
Jakub Vrána 
:
Problém je v tom, že roboti obvykle zkouší i zadání prostého URL bez jakýchkoliv značek.
Jakub Vrána : Peter:
Ja som to tak odfiltroval a spam chodi stale .. uz nie s www adresami ale s obycajnym sprostym textom ...rony:
ja doporucujem zamerat sa aj na TAG FORM. Akonahle ho skryjes, tak robot ho nevidi a ani sa nepokusa odosielat formularove data.adrive:
Môžeš dať príklad, ako tag form skryť? Či obdobným trikom noscript, script, document.write?mrzout:
Nevim jestli to tak bylo puvodne zamysleno, ale ...Samotny FORM by mohl byt do stranek pridan javascriptem ci Ajaxem ->coz ovsem odstrihne od moznosti prispivat vsem, kdo ho ma vypnut.
adrive:
no akonahle by bol form skrytý takýmto spôsobom, bolo by to vsetko jedno. pretoze v tagoch noscript by bol daný "odkrytý"Kája:
Tak mrzout tuším na značku noscript nějak nemyslel, spíš zavedl něco jako nulovou toleranci k uživatelům vypínajících JavaScript. :-) Jakub Vrána :
Pro fanoušky norem by se slušelo zmínit ještě dvě věci. Čekal jsem, až to někdo nakousne v komentářích, ale zatím se nikdo neozval...
1. V XHTML se nemá používat document.write(): http://www.w3.org/MarkUp/2004/xhtml-faq#docwrite. Jako náhradu lze použít document.createElement() a následné appendChild().
2. Vnitřek značky <script> by měl být kvůli zpětné kompatibilitě uzavřen do HTML komentářů (http://www.w3.org/TR/html4/interact/scripts.html#h-18.3.2), ty ale čisté XML parsery mohou zahazovat (http://www.w3.org/TR/xhtml1/#C_4), proto je lepší značku <script> používat výhradně s atributem src.
Jakub Vrána : taui:
tohle se dela uplne bezne a myslim ze s tim neni problem:/*<
david@grudl.com:
Zaslechl jsem, že prý od 1. ledna by měl být přístup na web zpoplatněn. Ale celkem rozumnou částkou, v řádu stokorun měsíčně. Moc se o tom neví, aby si lidé nezačali web hromadně stahovat.
david@grudl.com: Daniel 'X-Ray' Dušek:
Článek je to vcelku pěkný, ale nedávno se tato ochrana na mem webu stala neucinnou, zda se, ze robot umel javascript.
had:
někde jsem četl, že je vhodné dát tam:
<input type="submit" name="polerobota" value="Neklikat" style="display: none;" />
a pak normálně v php kontrolovat, jestli nebylo tohle pole odesláno jako true - když ano, tak je jasné, že to byl spam...řeším to takhle na všech svých diskuzích a velmi dobře se mi to osvědčilo...
Petan:
muzete mi prosim poradit jak mam provest kontrolu v PHP? nejak jsem to asi nepochopil. diky.Petan:
tak se obavam ze to reseni s display:none asi fungovat nebude nasel jsem zde http://www.w3.org/TR/html401/interact/forms.html#h-17.13 toto: Hidden controls and controls that are not rendered because of style sheet settings may still be successful. For example:<FORM action="..." method="post">
<P>
<INPUT type="password" style="display:none"
name="invisible-password"
value="mypassword">
</FORM>
will still cause a value to be paired with the name "invisible-password" and submitted with the form.
Jakub Vrána :
Hodnota tlačítka se přenese jen když na něj uživatel klikne. Když je schované, tak na něj klikne jen robot.
Takže tvoje připomínka naopak způsobuje, že řešení funguje.
Jakub Vrána : Pavel:
Pěkné řešení. Snad je opravdu funkční.had:
ještě jsem se dočetl o jednom článku Michala Škrabálka, popisující opravdu dobré ochrany proti spamu - viz. http://www.dreamface.net/michal/?face=zajimavost&c=31 - v kombinaci s mým výše popsaným řešením odradilo zatím všechny roboty.
okruh:
Aka by bola alternativa namiesto document.write() ?Diskuse je zrušena z důvodu spamu.
Navigace
PHP triky
Kupte si mou knihu
Reklama
- Hledáte-li programátora nebo naopak sami programujete a nemáte do čeho píchnout, využijte služeb portálu nezávislých profesionálů Na volné noze.
Web běží na serveru
Články podle skupin
- Dobře míněné rady (112)
- Řešení problému (171)
- Výuka (100)
- Seznámení s oblastí (111)
- Ze zákulisí (69)
- Školení (31)
- Verze PHP (8)
- Osobní (46)
- Adminer (78)
Výběr článků
- Traverzování kolem stromu prakticky
- Vlastní pořadí řádků v tabulce
- Ukázka použití indexů
- Struktura stránek
- Unikátnost návštěvníka
- Vyhledávání v JavaScriptu
- Kontrola e-mailové adresy
- Vytvoření přátelského URL
- HTTP cachování
- Atomicita operací
- Vypnutí magic_quotes_gpc
- Ukládání souborů od uživatele
- Cross Site Scripting
- AJAX
- Přihlašování uživatelů
- MySQL 4.1 – kódování
- Vzájemné propojení souborů
- Diskuse s reakcemi
- Šablony
- HTTP metody GET a POST
- Escapování
- Ukládání hesel
- Využití unikátních klíčů v databázi
- Obrana proti SQL Injection
Nejnovější články
Normy a manuály
Další projekty
© 2005-2025 Jakub Vrána.
Publikované texty můžete přetiskovat pouze se svolením autora. Ukázky kódu smíte používat s uvedením autora a URL tohoto webu bez dalších omezení 
.
Můžeme si tykat.
Skripty předpokládají nastavení: magic_quotes_gpc=Off, magic_quotes_runtime=Off, error_reporting=E_ALL & ~E_NOTICE a očekávají předchozí zavolání mysql_set_charset.
Skripty by měly být funkční v PHP >= 4.3 a PHP >= 5.0.