企业官网做内容安全审核，AnQiCMS 的敏感词过滤和 reCAPTCHA 怎么配置
企业官网要防恶意内容和机器人提交，AnQiCMS 的敏感词过滤和 reCAPTCHA 验证码该怎么配置才能起到防护作用？两者分工在不同层：敏感词过滤属于内容安全设置，配合关键词替换与内容审核在入库和发布环节拦截问题文本；reCAPTCHA 验证码接在表单提交前，把机器人挡在写入之前。再叠加内置的 JWT 认证与对 SQL 注入、XSS 的防御，形成提交前、入库前、账号层三道闸。
第一道闸：表单前接入 reCAPTCHA 验证码
机器人提交的典型路径是留言、评论、注册表单被脚本批量灌入。AnQiCMS 支持表单接入 reCAPTCHA 验证码：在后台填入站点凭证，再在需要保护的表单启用，提交时由验证码判定人机。配置顺序建议先覆盖对外表单入口（留言与注册），评论量大后再扩到评论；站点若有多语言版本，各入口共用同一凭证。判断是否生效，可以用无痕窗口走一遍提交流程核对校验步骤是否出现。
第二道闸：敏感词过滤与关键词替换
内容安全设置里，敏感词过滤负责命中词表的内容直接拦截或提示，关键词替换则把风险表述改写为合规说法，适合行业用语边界模糊的站点（如夸大疗效类措辞统一替换为中性表述）。词表维护建议从真实违规案例回填：每处理一次投诉或平台提醒，把特征词补进库里，比一次性抄一份通用词表更有用。两类规则的作用面是全站内容入库，编辑录入与采集来的稿子同样经过。
第三道闸：内容审核流程
过滤是机械判定，审核是人的判断。内容审核适合两类场景：一是外部投稿与留言精选，先进审核队列再由编辑放行；二是敏感时段的关键页，发布前多一道复核。配合文档状态流转（草稿、待发布、正式），审核未通过的内容停在待发布层，不会提前暴露在线上。
账号与接口层：JWT 认证与注入防御
底层能力上，系统内置 JWT 认证保护登录态与接口调用，配合输入校验防御 SQL 注入和 XSS 攻击；防采集干扰码则保护内容不被批量采集。这层一般无需日常配置，但有两个检查动作要做：确认站点已升级到修复注入问题的版本（v3.6.6 修复了列表排序参数 SQL 注入与登录凭证可被伪造两项高危问题），以及把后台账号的口令与令牌按周期轮换。
上线前的安全检查清单
逐项核对：对外表单是否都启用了验证码；敏感词库最近一次更新时间；关键词替换规则是否覆盖当前业务词；留言与投稿是否进入审核队列；版本是否为含安全修复的当前版；管理员与编辑账号权限是否按角色划分。清单跑完，恶意内容与机器人提交的常见路径基本都有闸。
常见问题
只装 reCAPTCHA 不配敏感词过滤行不行？ 能挡机器人，但放行的人工内容没有词表把关，两类风险来源不同，建议都开。
关键词替换会不会改错？ 会存在误替换，规则宜窄不宜宽，上线后定期抽查替换记录。
审核流会不会拖慢发布？ 可按分类设置是否强制审核，常规自营栏目可直通，外部内容走队列。