没人守着的表单六成提交来自机器人，先加隐藏字段还是先上验证码

未受保护的表单六成以上提交来自机器人，防垃圾该先加隐藏字段还是先接验证码：先加隐藏字段。当天核对到的口径是，无人值守的联系表单上自动提交比例超过六成，而隐藏字段这一招能挡住四成左右按模板批量填写的基础机器人；它不改变真人填表体验，也不需要外部服务，属于零打扰的第一层。验证码是第二层，在隐藏字段漏网比例仍然高企时再上。

两个当天口径先对齐

隐藏字段的原理是给表单加一个人类看不见、脚本会照填的输入项，一旦该字段有值就判定为机器人。它的拦截上限取决于对手有多「笨」：按通用模板批量提交、不做 DOM 判断的脚本会被挡住，当天核对到的口径是基础机器人里约四成；而付费代打服务可以绕过，这类服务的价格区间被记为每千次代打只需 0.50 到 2 美元，成本低到足以支撑持续攻击。

验证码这一层的差异在于它引入了一次外部判定。当天核对到的对比说法是：隐藏字段不需要向真人展示任何挑战，而带评分的验证码会在判定为机器人时直接拒掉提交，真人可能被误拒。

分层放上去的顺序

顺序错了会白花成本：直接上验证码，真人填表的流失立刻可见，而代打流量照样进来；先做第一、二层，再按数据决定第三层，多数站点的表单量并不需要走到第四层。

表单与评论是两个入口

安企内容管理系统（AnQiCMS）里表单与评论的防垃圾是分开的两个开关，配置时不要以为设了一处就全局生效。评论侧除了拦截机制，还可以走敏感词过滤与关键词替换，把已经进来的垃圾内容在展示层处理掉；表单侧更看重提交动作本身，靠验证码与隐藏字段把关。

效果要留可查记录：按天记录提交总数、被判为机器人的数量与人工确认误拦的数量。只统计拦截量而不统计误拦，很容易把某类真人（如使用读屏工具的访客）长期挡在门外。

常见问题

问：隐藏字段会不会被高级脚本跳过？ 答：会。它的定位是低成本第一层，跳过它的流量要靠频率限制与人工审核兜住。

问：用了验证码是不是就不用隐藏字段？ 答：不建议。两层目的不同，隐藏字段减少走到验证码的流量，能降低真人的打扰次数。

问：垃圾量不大要不要上验证码？ 答：先观察。低流量站点上验证码带来的真人误拒损失，通常比垃圾本身更贵。