评论区和表单被机器人刷的时候，验证码和过滤分别负责哪一段？分工线很清楚：验证码管「请求是不是人发的」，reCAPTCHA 挡在提交入口；过滤管「内容能不能留下来」，敏感词过滤与内容审核处理已经进来的数据；中间还有一层认证，JWT 负责收敛接口调用方。三段各管一段，谁也替代不了谁。

垃圾提交的三条路径

机器人打站通常走三条路：直接刷公开表单接口，绕过页面提交评论；模拟浏览器填留言与注册表单；把恶意载荷藏进正文，赌存储后在前台渲染时发作——即存储型 XSS 的路子。三条路径的拦截点不同，只装其中一层必然被另外两条绕过。

验证码挡在入口

表单接入 reCAPTCHA 后，自动化脚本的批量提交在入口就被判行为特征拦下，真人用户几乎无感。它的作用半径是「提交动作」本身：拦刷子、拦脚本、拦高频机械点击，但不判断内容含义——一个真人发的违规评论，验证码会照常放行。因此它必须与内容侧过滤搭配，而不能配了验证码就关掉审核。

公开接口是垃圾提交的重灾区。接口调用走 JWT 认证后，匿名乱刷与伪造来源的请求在网关层就被拒绝，能进内容的请求可追溯、可限流。这一层对表单的意义是把「绕过页面直刷接口」这条最省事的路先堵上，剩下两条路的成本抬高，刷量者的性价比就掉了。

过了行为关的内容还要过语义关：敏感词过滤拦违规表述，关键词替换收敛口径，配合内置机制防 SQL 注入与 XSS，恶意载荷不落库、不渲染。干扰码则服务于另一个场景——对采集型抓取掺信息，防批量搬运，与防垃圾提交不是一件事，配置时别混为一层。

分层配置对照表如下：

装了验证码评论还是多怎么办？ 先看提交来源分布：若多为真人马甲或已破解脚本，加重内容侧过滤与审核频率，验证码单独扛不住。

验证码会影响转化吗？ 会有一定摩擦，建议只开在留言、注册等高滥用表单，普通咨询表单先靠认证与过滤层。

防采集干扰码能当反垃圾用吗？ 方向相反：干扰码针对批量抓取者，对提交型垃圾无用，两层各自配置。