评论和留言要不要都上验证码，反垃圾分工怎么排

评论和留言是不是都要加验证码，反垃圾的分工应该怎么排？不必按入口一刀切。验证码只回答一个问题——这次提交是不是真人操作，它拦得住脚本刷提交的机器人，拦不住真人手动发的广告评论，也管不了绕过表单、直接走 API 调用的批量提交。合理的排法是三层加一层人工兜底：表单侧用人机验证挡机器人，内容侧用敏感词过滤与关键词替换挡不合规表述，接口侧按调用来源与频率限制批量行为，最后由人工在留言列表与评论列表里复核漏网的。

三类垃圾各有各的入口

垃圾提交按动机分三类，每类的入口不一样，处置手段也就不能混用。

第一类是脚本批量灌水，特征是同一模板文案高频提交、提交间隔规律、账号缺失或使用新注册邮箱。这类入口是公开的表单接口，人机验证对它有效。第二类是人工发布的推广内容，特征是文案含联系方式、外链指向与站点主题无关、同一账号跨多篇文章重复发言。这类提交通过了人机验证，表单侧拦不住，只能靠内容侧的词表与规则。第三类是程序化调用，绕开页面直接请求接口，一次提交几十条，特征是请求路径没有页面来源、频率远超正常阅读速度。这一层既不看人机验证，也不完全依赖词表，要看接口侧的来源与频率控制。

reCAPTCHA 放在哪一步

reCAPTCHA 这类验证码的位置应该放在「提交动作」这一步，而不是放在页面加载。放在加载时，真人用户被多问一次，脚本却可以拿到通过凭证再提交，成本落错了对象。

配置时按入口分开评估：留言表单通常是全站公开、无需登录的入口，也是最容易被灌的入口，值得开启；登录后的评论如果已有用户组与权限限制，可以先只上词表过滤，观察一段时间被拦下的比例再决定是否加验证码。开启前还有一层成本要算——按订阅档位计费的第三方反垃圾服务，档位是按判定量与站点数划分的，以 Akismet 常见的公开档位为例，每月 500 次判定的档位是 9.95 美元、按年计费且只覆盖 1 个站点，多站点接入时这笔费用要按站点数重算，而不是照抄单站价格。

留言列表与评论的分工

留言与评论在后台是两类对象，处置节奏不同。评论挂在具体内容下，数量大、上下文短，适合先过机器规则再抽样人工看；留言通常独立成列表，条数少但单条信息量高，更适合进入待发布状态、由人工确认后再放出。

内容侧这一层承担的是「说没说违规内容」：敏感词过滤负责拦截或标记命中词的提交，关键词替换负责把部分表述改成中性写法后放行，两者配置在内容审核环节里，在提交之后生效，因此不管前面有没有验证码都要保留。换句话说，验证码管的是「谁在提交」，词表管的是「提交了什么」，两层解决的不是同一个问题。

别把验证码当单一闸门

排法上有个常见误区：只开验证码，把词表当成可有可无的旧功能。真人手动发的广告能顺利通过验证码，此时还能起作用的处置手段就只剩词表和人工，而人工不可能逐条看完高流量站点的评论。反过来，只上词表不上验证，垃圾照样进库，只是从「可见」变成「待清理」，运营成本反而更高。

常见问题

所有表单都要开 reCAPTCHA 吗？ 不一定。公开、免登录、被灌过的表单优先开；已有登录与用户组限制的入口可以先靠词表与频率限制观察，被灌记录明显再补。

留言和评论要不要用同一套规则？ 处置动作可以共用，发布节奏建议分开。留言按条人工确认，评论按规则批量过滤后抽样复核。

已经灌进来的怎么办？ 先批量删除到低质内容，注意删除是移入回收站而非物理删除，误删可恢复；再回头补词表与接口侧限制，避免同一批脚本二次提交。

接第三方反垃圾服务就够了吗？ 不够。第三方服务判定的是垃圾概率，不覆盖本站特有的合规词要求，敏感词过滤与关键词替换这一层仍然要在站内配。