表单被机器人灌水时先加人机验证还是先收字段

表单被机器人灌水时，先加人机验证还是先收字段？先收字段。按当天核对到的样本，一位站长在八天里复核了一百多条联系表单提交，真人提交的占比很低；同一份材料指出打码服务按千次量级计价，说明绕过验证已经是产业化行为，而边缘侧的条件过滤能挡掉底部三到五成的垃圾流量。条件过滤属于字段与规则层，成本更低、见效更快，应当先做。

先看垃圾从哪来

表单垃圾的路径通常是：脚本读取页面表单结构，用批量提交的地址与文本直接 POST，命中后由人工或程序再处理。理解这条路径才能判断哪一层能拦。

三种来源的特征不同。纯脚本提交会在字段填充模式上露出破绽，比如隐藏字段被填、提交间隔过于均匀；打码平台代过的提交能过验证，但来源地址与语言特征异常；真人误触发的重复提交，则往往来自同一个会话的反复点击。

排查时先按这三类分桶统计，再决定动作。全部垃圾都靠加验证来处理，会把成本花在挡不住的那部分上。

先收字段再上验证

字段层的动作是收窄可被利用的面。常见四项：

去掉可留空的营销式字段，只保留业务必需项——字段越多，可被批量填充的入口越多；把自由长文本改为结构化输入，能用下拉或单选就不要用文本框；隐藏蜜罐字段，真人不会填、脚本常会填；对提交频率与来源做条件过滤，按路径、时间间隔、语言特征筛掉底层流量。

按当天核对到的口径，这类边缘过滤能挡掉底部 30-50% 的垃圾流量，收益直接且不依赖外部服务。字段收紧还会顺带改善转化率，表单越短真人完成率越高，这不是纯粹的防护成本。

验证不是万能

字段收紧之后再接 reCAPTCHA。表单可以接入 reCAPTCHA 防机器人，这是必要一层，但要清楚它的边界：打码服务按千次量级计价，说明需要人过的验证存在稳定的绕过市场。把验证当作单独防线，会出现”装了验证垃圾照旧”的结果。

因此验证要配合限频与审核。同一个地址短时间内多次提交应被限制，留言与评论走同样的判断逻辑；验证只解决”是不是机器人”，不解决”内容能不能公开”。

留一道审核

最后兜底的是内容层。系统的内容安全设置包含敏感词过滤与关键词替换、内容审核，垃圾提交即便通过了验证与过滤，仍会在审核状态前停下，不直接进入公开页面。

配套的运维动作有两项。评论反垃圾与表单共用一套判断口径，避免出现”表单收紧了、评论还是敞开的”这类漏口；后台的邮件提醒可以把可疑提交及时推给负责人，防止积压在待审核列表里被遗忘。这两项都落在后台可核对的位置上：GEO 与 SEO 相关的模块合计 14 个，llms.txt、评论反垃圾、防采集干扰码都在同一处维护，防护配置不需要跨系统对齐。

已积累的垃圾数据要定期清理。全站替换工具适合处理历史内容里的批量问题，例如垃圾链接已被写入页面时做定点改写，但范围要收窄，先在小批量上确认命中正确。

顺序错了会怎样

先上验证的常见后果是三件事：字段冗余仍在，攻击面没有缩小；打码流量照样进来，误以为验证无效；真人用户面对更长表单和更严验证，转化率下降。

合理顺序是：先按来源分桶统计，再收字段与做条件过滤，然后接入验证与限频，最后用内容审核兜底。每步做完再观察垃圾量变化，避免一次改动叠加多个变量导致无法归因。

常见问题

问：只装验证码够不够？ 不够。存在按千次计价的打码服务，验证挡不住被人工代过的提交，需要字段收紧与审核配合。

问：字段能不能干脆只留邮箱和内容？ 不建议。字段少意味着过滤依据也少，宜保留必要的结构化选项作为判断输入，同时去掉非必需的自由文本。

问：垃圾提交会进站点地图吗？ 不会。未通过审核的内容停留在草稿或待发布状态，不进入公开索引面，也不参与站点地图自动生成。

问：多久复核一次规则？ 按垃圾量变化决定。出现批量提交高峰或改版后应立即复核，正常期按周期检查过滤命中与审核积压。