看起来我们将为Stack Overflow添加CAPTCHA支持。这对于防止机器人、垃圾邮件发送者和其他恶意脚本活动是必要的。我们只希望人类在这里发布或编辑东西!
我们将使用JavaScript (jQuery)验证码作为第一道防线:
http://docs.jquery.com/Tutorials:Safer_Contact_Forms_Without_CAPTCHAs
这种方法的优点是，对于大多数人来说，CAPTCHA永远不会可见!
然而，对于禁用JavaScript的人，我们仍然需要一个备用方案，这就是棘手的地方。
我为ASP编写了一个传统的CAPTCHA控件。NET，我们可以重复使用。
但是，我更倾向于使用一些文本化的东西，以避免为每个请求在服务器上创建所有这些图像的开销。
我见过这样的事情…
ASCII文本验证码:\/\/(_)\/\/ 数学难题:7减3乘以2等于多少? 小问题:癞蛤蟆和冰棍，哪个更好吃?
也许我只是在风车这里倾斜，但我希望有一个更少的资源密集型，非图像为基础的<noscript>兼容的验证码，如果可能的话。
想法吗?
当前回答
基于CSS的验证码怎么样?
<div style="position:relative;top:0;left:0">
<span style="position:absolute;left:4em;top:0">E</span>
<span style="position:absolute;left:3em;top:0">D</span>
<span style="position:absolute;left:1em;top:0">B</span>
<span style="position:absolute;left:0em;top:0">A</span>
<span style="position:absolute;left:2em;top:0">C</span>
</div>
这将显示“ABCDE”。当然，使用自定义机器人仍然很容易。
其他回答
@lance
谁说每个请求都必须在服务器上创建所有映像?也许你可以有一个静态的图片列表，或者从Flickr中获取它们。我喜欢“点击小猫”验证码的想法。http://www.thepcspy.com/kittenauth。
如果从静态图像列表中提取，绕过CAPTCHA就变得很简单，因为人类可以对它们进行分类，然后机器人就可以轻松地回答这些挑战。即使机器人不能回答所有问题，它仍然可以发送垃圾邮件。它只需要能够回答一小部分的验证码，因为当尝试失败时，它总是可以重试。
这实际上也是谜题的问题，因为拥有大量挑战是非常困难的。
回答最初的问题:
ASCII很糟糕:我不得不眯着眼睛才能找到“WOW”。这是正确的吗?它可以是“VVOVV”或其他什么; 非常简单的算术很好。盲人也能回答。(但正如Jarod所说，要注意操作符优先级。)我想有人可以编写一个解析器，但这使得垃圾邮件的成本更高。 琐事是可以的，但你必须把它们都写出来:-(
我看过动物的照片[那是什么?]。漫画投票使用一个人物的图片，他们的名字写在图像的某处[输入名字]。不可能解析，对盲人来说不行。
您可以使用音频回退读取字母和数字(与验证码中的字母和数字相同)。
最后一道防线:使垃圾邮件易于报告(一键)和易于删除(一个重述屏幕检查是否是垃圾邮件帐户，显示最后十条消息，一键删除帐户)。不过，这仍然很费时。
这里的一些人声称解决方案从未被机器人破坏过。我认为问题在于，你也不知道有多少人没有通过“验证码”。
一个网站不能变得对人类用户非常不友好。这似乎是在互联网上做生意的代价，你必须处理一些手工工作来忽略垃圾邮件。拒绝用户的验证码(或类似的系统)比根本没有验证码更糟糕。
Admittedly, StackOverflow has a very knowledgeable audience, so a lot more creative solutions can be used. But for more run-of-the-mill sites, you can really only use what people are used to, or else you will just cause confusion and lose site visitors and traffic. In general, CAPTCHAs shouldn't be tuned towards stopping all bots, or other attack vectors. That just makes the challenge too difficult for legitimate users. Start out easy and make it more difficult until you have spam levels at a somewhat manageable level, but not more.
最后，我想回到基于图像的解决方案:你不需要每次都创建一个新的图像。您可以预先创建大量(可能几千个?)，然后随着时间的推移慢慢地更改这个集合。例如，每10分钟或每小时过期100个最旧的图像，并用一组新的图像替换它们。对于每个请求，从整个验证码集中随机选择一个验证码。
当然，这无法承受直接攻击，但正如前面多次提到的，大多数验证码都无法承受。不过，这足以阻止随机机器人。
在实现前面提到的蜜罐验证码方法后，我们的表单垃圾邮件已经大幅减少。我相信自从实施以来，我们还没有收到任何通知。
在目前的概念中，CAPTCHA是不完善的，而且经常很容易被绕过。现有的解决方案没有一个是有效的——GMail最多只有20%的成功率。
实际情况要糟糕得多，因为这个统计数据只使用了OCR，还有其他方法可以绕过它——例如，CAPTCHA代理和CAPTCHA农场。我最近在OWASP做了一个关于这个主题的演讲，但是ppt还没有上线…
虽然CAPTCHA不能以任何形式提供实际的保护，但如果你想要阻止随意路过的垃圾，它可能足以满足你的需求。但它甚至无法阻止半专业的垃圾邮件发送者。
通常，对于一个有价值的资源需要保护的网站，你需要三个方面的方法:
限制来自认证用户的回复，不允许匿名帖子。 最小化(而不是阻止)来自认证用户的少数垃圾帖子-例如基于声誉的。人工版主在这里也可以提供帮助，但随后你会遇到其他问题——即充斥(甚至淹没)版主，而一些网站更喜欢开放…… 使用服务器端启发式逻辑来识别类似垃圾邮件的行为，或者更好的非人类行为。
验证码可以在第二个方面提供一点帮助，只是因为它改变了经济状况——如果其他方面都到位了，那么为了在如此少量的垃圾邮件中成功突破验证码(最低成本，但仍然是成本)就不再值得了。
同样，不是所有的垃圾邮件(和其他垃圾邮件)都是计算机生成的-使用CAPTCHA代理或农场坏人可以让真人发送垃圾邮件给你。
验证码代理是指他们将你的图像提供给其他网站的用户，如色情网站、游戏网站等。
验证码农场有很多廉价的劳动力(印度、远东等)来解决这些问题……通常每1000个验证码解决2-4美元。最近在Ebay上看到了这个帖子……
