看起来我们将为Stack Overflow添加CAPTCHA支持。这对于防止机器人、垃圾邮件发送者和其他恶意脚本活动是必要的。我们只希望人类在这里发布或编辑东西!
我们将使用JavaScript (jQuery)验证码作为第一道防线:
http://docs.jquery.com/Tutorials:Safer_Contact_Forms_Without_CAPTCHAs
这种方法的优点是，对于大多数人来说，CAPTCHA永远不会可见!
然而，对于禁用JavaScript的人，我们仍然需要一个备用方案，这就是棘手的地方。
我为ASP编写了一个传统的CAPTCHA控件。NET，我们可以重复使用。
但是，我更倾向于使用一些文本化的东西，以避免为每个请求在服务器上创建所有这些图像的开销。
我见过这样的事情…
ASCII文本验证码:\/\/(_)\/\/ 数学难题:7减3乘以2等于多少? 小问题:癞蛤蟆和冰棍，哪个更好吃?
也许我只是在风车这里倾斜，但我希望有一个更少的资源密集型，非图像为基础的<noscript>兼容的验证码，如果可能的话。
想法吗?
当前回答
Mixriot.com使用ASCII艺术验证码(不确定这是否是第三方工具)。
OooOOo .oOOo. o O oO
o O O o O
O o o o o
ooOOo. OoOOo. OooOOo O
O O O O o
o O o o O
`OooO' `OooO' O OooOO
其他回答
如果只是检查JavaScript是否启用了呢?
任何使用这个网站的人都肯定会启用它。据人们所说，垃圾邮件机器人不会启用JavaScript。
利用社区本身来仔细检查这里的每个人是否都是人，比如像信任网一样的东西，怎么样?为了找到一个真正值得信赖的人来创建网站，我建议使用这个验证码来确保他绝对是100%的人类。
Rapidshare验证码-黎曼假设http://codethief.eu/kram/_/rapidshare_captcha2.jpg
当然，有一个很小的机会，他会忙着准备他的菲尔兹奖演讲，来帮助我们建立信任的网络，但是……
你是否打算为Stackoverflow提供一个API，允许以编程方式操纵问题/答案?如果是这样，基于CAPTCHA的保护将如何适应这种情况?
虽然通过Atom聚合提要提供了一个丰富的只读接口，但它允许人们创建一些有趣的智能客户端/工具，用于组织和搜索Stackoverflow的大量内容;我认为在网页界面之外拥有提问和/或回答问题以及对内容投票的功能是非常有用的。(尽管这可能不符合基于广告的收入模式。)
我更愿意看到Stackoverflow使用启发式监控方法，试图检测恶意活动并阻止违规用户，但我可以理解使用CAPTCHA可能是一种更简单的方法，因为您的发布数据即将发布。
在目前的概念中，CAPTCHA是不完善的，而且经常很容易被绕过。现有的解决方案没有一个是有效的——GMail最多只有20%的成功率。
实际情况要糟糕得多，因为这个统计数据只使用了OCR，还有其他方法可以绕过它——例如，CAPTCHA代理和CAPTCHA农场。我最近在OWASP做了一个关于这个主题的演讲，但是ppt还没有上线…
虽然CAPTCHA不能以任何形式提供实际的保护，但如果你想要阻止随意路过的垃圾，它可能足以满足你的需求。但它甚至无法阻止半专业的垃圾邮件发送者。
通常，对于一个有价值的资源需要保护的网站，你需要三个方面的方法:
限制来自认证用户的回复，不允许匿名帖子。 最小化(而不是阻止)来自认证用户的少数垃圾帖子-例如基于声誉的。人工版主在这里也可以提供帮助，但随后你会遇到其他问题——即充斥(甚至淹没)版主，而一些网站更喜欢开放…… 使用服务器端启发式逻辑来识别类似垃圾邮件的行为，或者更好的非人类行为。
验证码可以在第二个方面提供一点帮助，只是因为它改变了经济状况——如果其他方面都到位了，那么为了在如此少量的垃圾邮件中成功突破验证码(最低成本，但仍然是成本)就不再值得了。
同样，不是所有的垃圾邮件(和其他垃圾邮件)都是计算机生成的-使用CAPTCHA代理或农场坏人可以让真人发送垃圾邮件给你。
验证码代理是指他们将你的图像提供给其他网站的用户，如色情网站、游戏网站等。
验证码农场有很多廉价的劳动力(印度、远东等)来解决这些问题……通常每1000个验证码解决2-4美元。最近在Ebay上看到了这个帖子……
有人还建议使用Raphael JavaScript库，它显然可以让你在所有流行的浏览器的客户端上作画:
http://dmitry.baranovskiy.com/raphael/
．． 但这并不完全适用于我的<noscript>情况，不是吗?：）
