在博客中屏蔽垃圾留言的简单方法

垃圾留言俗称 spam，就是到处在留言框里发垃圾广告的那些，相信大多数人都见识过。以前使用 wordpress 的时候，因为装了防 spam 的插件，可以屏蔽掉绝大多数的 spam。但是自从上个月从 wordpress 迁移到新的博客平台后，第一天上线就遭遇了几个spam，全都是国外的推广的广告什么的。博客的访问量本身就很小，如果每天都来几条 spam，太煞风景了，手工删除也太浪费时间，而且又是自己写的小系统，也不可能有什么插件可选，只能自己想办法解决了。

看到有很多网站都是加个验证码来解决这个问题的，因为 spam 很难从图片中识别出正确的验证码，但是对于正常的留言者来说，又凭空多了一个步骤，那么除此之外还有什么方法能屏蔽这些 spam 呢？

仔细分析一下，正常的留言应该是人类通过浏览器提交数据到我们的服务器，而 spam 通常都是由固定的程序在互联网上扫描评论表单，伪造表单中的数据，然后判断表单的action，然后将数据 post 到这个action上来。也就是说，spam 发送方都没有正常地通过浏览器访问过我们的表单页面，也就是说，页面上的 javascript 都没有执行过咯，明白这个特点，那问题就迎刃而解了。

首先，我们可以在表单中放一个隐藏的文本框，这个文本框对正常用户来说是不可见的：

<div style="margin:0;padding:0;display:inline">
  <input id="checkspam" name="checkspam" type="hidden" value="hello ruby" />
</div>

然后再写一小段 javascript 代码来改变这个文本框的值：

jquery(document).ready(function($) {
  $("#checkspam").val('abcdefg');
});

由于对于 spam 发送者来说，这段 javascript 是没有被执行的，那么接下来要做的事情就是在服务端判断这个隐藏文本框的值了，如果不是 javascript 所更改后的值，那么这条留言无疑就是 spam 了（排除正常用户的浏览器禁用 javascript 的情况）。

下面以 ruby on rails 应用为例：

if params[:checkspam] == "abcdefg"
 @comment.save
else
 # it's a spam...
end

其实，这个隐藏文本框的作用跟验证码是一样的，只不过这个验证码是由 javascript 帮忙自动输入了。

用了这个方法至今一月有余，目前没有再发生过 spam 的情况。