留言板一周被刷三千条垃圾广告？加个滑动验证码，脚本直接发不进来

新手网站的留言板、登录、注册功能，根本不做验证码，上线一周被脚本刷了几千条垃圾留言，后台审核都审不过，其实验证码防刷就几个基础点，做完就能挡住90%的机器人。第一，验证码别做纯字符的简单验证码，OCR几秒钟就能识别，用滑动验证码、点选验证码，脚本很难自动识别；第二，验证码的有效期设5分钟，过期自动失效，别让同一个验证码用一天，被人抓包复用；第三，提交留言、登录的时候，校验验证码必须和服务端存的session一致，别前端校验，服务端不校验，脚本直接绕过验证码提交；第四，一个IP连续提交失败5次，直接锁15分钟，挡住那种暴力破解密码、疯狂刷留言的脚本。

我之前的博客留言板，没做验证码，一周被脚本刷了三千多条赌博留言，后台删都删不完，加了滑动验证码之后，垃圾留言直接降到个位数，根本不用天天删。很多新手觉得小站没人刷，黑产的脚本24小时扫所有带留言板的站，你不做验证码，就是个免费的垃圾广告发布通道，做个简单的验证码，十分钟的开发量，省下来的审核时间能多写好多内容。