有辦法讓Web表單只能由點擊送出嗎?

javascript html form submit

chetbaker 2009-04-26 00:55:29 ‧ 7398 瀏覽

透過JavaScript，能夠讓Web表單即使不透過點擊送出，也能submit出去。這樣讓人有機會去寫一些機器人程式，很短的時間就可以送出表單。

我想知道，有什麼辦法可以做到確認user的確是按了那個送出鈕，或者能讓直接用submit()出來表單無效。

直播研討會

{{ item.channelVendor }} {{ item.webinarstarted }} |

直播中

fillano

iT邦超人 1 級 ‧ 2009-04-26 09:56:39

最佳解答

駭客如果要大量送，他根本不用javascript，他直接送出POST請求就可以了。

提供幾個常見的做法，你可以參考：

最常見的是januslin說的，使用captcha。
利用activex、flash、java applet做submit，裡面埋好一些跟伺服器溝通的規則（額外加密、額外增加欄位、用另外的通訊方式與伺服器溝通等等）
利用spamer的機器人，比較少內建javascript引擎，使用伺服器動態產生的javascript來提高難度

第一個方法目前有一堆機器人可以利用OCR的方式來破解，所以不要用太簡單的方法來產生文數字。如果不考慮國外使用者及跨兩岸的使用者，用中文來做可以大幅提高破解難度。另外一種做法是出謎題，要使用者回答等。你可以參考幾個連結（主要是關於怎麼破解，也有一些是討論常見的captcha系統的破解難易度）：
http://www.brains-n-brawn.com/default.aspx?vDir=aicaptcha
http://www.cs.sfu.ca/~mori/research/gimpy/
http://www.gudlyf.com/2004/06/07/wordpress-hack-authimage/
http://www.w3.org/TR/turingtest/
http://caca.zoy.org/wiki/PWNtcha
http://ejohn.org/blog/ocr-and-neural-nets-in-javascript/（John Resig的blog，提到有人用html5的canvas以及用javascript實作類神經網路演算法來做線上的OCR）

第二個方法常見銀行使用，不過需要額外開發。最常見的手法還是用activex，雖然這樣會限定使用者只能用IE，但是可以利用hook api等技術做到防側錄。優缺點就看自己的評估了。

第三個方法很有趣，不過如果spamer的機器人內建javascript引擎的話就擋不住了。

檢查與你互動的到底是人還是電腦，相關的議題可以用「杜林測試」、「Turing Test」的關鍵字找到很多資料。