PHP验证码CAPTCHA

我经营一个游戏网站,所以我有很多用户登录,他们可以每两分钟做一次.

我有一个CAPTCHA系统,有些东西它总是要求代码,而对于其他东西,它会每10分钟询问一次.

我让一些玩家在Opera上使用自动提交功能,而我的CAPTCHA系统确实阻止了他们.

我的问题是,如何最小化我要求代码的次数,但仍然阻止人们使用此自动提交？

如果我理解正确,这个任务不需要验证码.我想你想看看用户是否点击了自己,坐在他的电脑前.

新想法

在您的表单上放置多个图像提交:

...

生成表单时获取1到8之间的随机数并保存$_SESSION['submitnumber'].创建两个相同大小的图像 - 一个空填充表单中的默认背景,另一个看起来像提交按钮.创建将使用以下代码输出图像的buttons.php:

header("Content-Type: image/jpeg");
flush();
readfile($filename);

如果$_GET[i]!=$_SESSION['submitnumber']else返回提交图像,则返回空图像.

如果单击了正确的图像提交,则接受表单(当用户单击按钮时,浏览器将发送类似send1X的coords)

这是一种验证码,但人们不会知道;)

老想法

你需要两件事:

1为非常独特的表单生成标记.

放置 并生成"someweirdstring"作为某些(用户名和时间)的md5哈希 - 依赖的东西.我可以详细说明这一点,但这是安全和CSRF攻击阻止的基本形式标记.发布后验证令牌.

例:

这不是令牌机制的典型实现,但它就足够了.

$token=generatesomerandomtext();
$_SESSION['token']=$token; 

//... somewhere later when outputing forms:    
echo '';

//and when it comes back:
if($_POST['token']==$_SESSION['token']) {
   //it's ok
   }

这就是你需要的一切.这个简单的例子为每个页面创建一个唯一的标记并放入表单.它不依赖于时间而且不使用md5,但将令牌存储在会话中.要自动发送将被接受的表单,此人必须使用您生成或复制令牌的表单.

真正的表单令牌示例更像是:$ token = md5($ username.come secret text'.$ date.$ timeRoundedTo10Minutes);

//... somewhere later when outputing forms:    
echo '';

//and when it comes back:
if(
 ($_POST['token']==md5($username.'some secret text'.$date.$timeRoundedTo10Minutes)) ||
 ($_POST['token']==md5($username.'some secret text'.$date.$timeRoundedTo10Minutes-10minutes)) ) {
   //it's ok
   }

为什么用户名？因为它消除了使用一个用户的令牌来破解另一个用户的可能性为什么要使用秘密文本(称为"盐")？因为有人可以随着时间的推移将其他用户的名字粘在一起并做md5,但是没有猜测他不能的盐.为什么两个比较？因为如果现在是22:44:59 - 令牌是以22:40生成的,如果用户发送它的时间是22:45:30,那么它会四舍五入到22:50并且仅当你将它取回10分钟时才匹配令牌.

这是一个基本的例子.供参考,请参阅此问题.

2更改您的提交按钮,因为它会发布单击按钮的位置的x和y坐标.我不知道是谁在规范中提出这个问题,但这是第一次使用它!:)