有哪些技术可以防止多次提交比赛？

Question

项目

我们有一个用 PHP 编码的竞赛，使用 CodeIgniter。该表格对电子邮件地址和手机号码进行了验证。页面本身托管在不同域的 iframe 中（这是一种代理-客户关系）。

问题

我们让用户拥有 1000 条条目。我们知道它们是假的，因为：

1. 他们使用相同的手机号码 - 假设他们找到了一个通过验证的手机号码，然后每次都使用它。
2. 电子邮件地址都位于奇怪的域中，其中一些域重复了多次。

但是，IP 地址是唯一的，条目分布在几天内，域本身有 MX 记录，用户代理看起来很正常。

客户不想做任何可能导致条目减少的事情。

问题

Captcha 等方法的优缺点是什么？您使用了哪些有效的 UI 和代码模式？

我阅读的一种方法是允许可疑条目，以便垃圾邮件发送者的条目被接受，但他们的数据有一个“可疑”标志，然后手动检查。我可以检查哪些数据来判断是否可疑？

Answer 1

你可以使用的一些方法：

• 验证码：阻止机器人提交表单
• 电子邮件验证：向他们发送一封带有唯一链接的电子邮件，以激活他们的参赛作品。停止无效的电子邮件地址。
• 手机号码验证：向他们发送带有激活码的短信。停止无效的电话号码。

在我看来，您的方法不应该是阻止提交条目，而是要求对输入的详细信息进行一定程度的验证。

Answer 2

验证码的缺点：

1. 用户讨厌它，如果实施不当会令人沮丧（例如，验证码失败会重置其他表单字段）。
2. 当字母难以阅读时，合法用户可能难以完成。
3. 并不总是有效。比如几个月前刚刚scammed Ticketmaster by beating ReCAPTCHA的人*。
4. 丑陋，要实现的代码更多，它将负担或责任从您转移到用户身上。 PROVE YOU ARE HUMAN 不是我在发送表单时想要看到的，非常侮辱。

@Nick 的想法是对的，使用文本/电子邮件验证。 IP检查有时可以，但正如您所说，您会获得具有相同手机号码的唯一IP，因此它不可靠。

这里有很多关于 CAPTCHA 替代品的精彩帖子，如果您打算使用它，绝对值得一读。您可能必须在方便用户（鼓励提交）和前端安全技术之间找到平衡。

但是，为什么不能简单地忽略重复的手机号码或电话号码 + IP 组合？仅仅因为他们可以提交多次并不意味着您必须接受它。如果是人类，让他们认为他们在发送多张选票:)

*_{Ticketmaster 使用了各种手段 试图阻止 Wiseguy 的行动， 在某一时刻切换到服务 叫reCaptcha，也用 脸书。这是第三方 提供验证码挑战的验证码 给网站的访问者。当客户 试图购票， Ticketmaster 的网络发送一个独特的 reCaptcha 的代码，然后 将验证码质询发送到 客户。}

_{但据称被告是 也能够阻止这一点。他们 写了一个模拟用户的脚本 尝试访问 Facebook，以及 下载了几十万 可能的验证码挑战来自 reCaptcha，检察官坚持说。 他们确定了每个文件的文件 ID 验证码挑战并创建了一个 验证码“答案”数据库 对应每个ID。机器人会 然后识别一个的文件ID Ticketmaster 和 feed 的挑战 回对应的答案。机器人 还模仿了人类的行为 偶尔打字会出错 答案，当局说。}

Answer 3

验证码在垃圾邮件保护方面非常完美，但经常让人感到困惑。

但有一个解决方法 - 您可以使用 JavaScript 为真实用户隐藏验证码（使用打开 JavaScript 的浏览器），而对于垃圾邮件机器人（没有 JS）它始终是“可见的”。这很简单 - 只需使用 JS 您将保存验证码的 div 设置为 display:none，并创建一个隐藏输入，其值包含来自验证码图像的值...

最强的方法可能是电子邮件验证 - 但有时它意味着应用程序的重新编写。如果用户提交他的回复您将其注册为未激活并向他发送一封验证电子邮件到提供的电子邮件地址。如果有效，点击链接后，他将验证他的电子邮件回复，您可以将他的回复变为活动状态...

对于用户来说，防止在刷新时重新提交表单的一个很好的解决方法是在提交和处理表单后将用户重定向到同一页面...是的，查看结果需要一两秒钟的时间，但它更安全...