如何减少Drupal Webform垃圾邮件（已用Captcha模块）及本地测试方法

强化Captcha机制 #

• 替换为更抗破解的Captcha方案：如果当前用的是简单图片验证码，换成无交互的reCAPTCHA v3或hCaptcha，这类方案通过分析用户行为（鼠标移动、点击轨迹）判断是否为机器人，比传统验证码难绕过。
• 务必完善服务器端校验：很多人只做前端Captcha验证，爬虫可以直接跳过前端逻辑提交请求。后端必须在接收表单数据时，调用Captcha的官方API验证令牌有效性，验证不通过直接拒绝请求。

增加后端防御逻辑 #

• 加入蜜罐字段（Honeypot）：在表单里加一个用CSS设置display: none的输入框，正常用户看不到也不会填写，但机器人会自动填充所有字段。后端检查该字段是否有值，有值则判定为垃圾提交，直接丢弃。
• 提交时间校验：记录用户打开表单到点击提交的时间间隔，若间隔小于2-3秒（可根据表单复杂度调整），直接拒绝请求——真人不可能这么快完成填写。
• 内容与格式校验：检查邮箱是否为临时邮箱（可维护一个临时邮箱域名列表）、输入内容是否包含垃圾广告关键词，格式不符合要求的直接拦截。
• 限制提交频率：对同一IP/邮箱设置提交频率限制，比如1小时内最多允许3次提交，防止批量垃圾提交。

邮件层过滤 #

在接收表单提交的邮件服务器端设置过滤规则，比如拦截包含特定垃圾关键词的邮件、标记来自低信誉IP的邮件，进一步减少垃圾邮件进入收件箱。

模拟机器人行为测试 #

• 跳过前端直接提交：用curl或Postman构造POST请求，直接向后端接口发送表单数据（不携带Captcha验证令牌），验证后端是否会拒绝该请求。
• 触发蜜罐拦截：在请求中填充蜜罐字段的值，提交后检查是否被后端正确拦截。
• 快速提交测试：用脚本模拟间隔1秒内的多次提交，验证提交频率限制是否生效。

Captcha功能测试 #

• 使用测试密钥：如果用的是第三方Captcha（如reCAPTCHA），官方提供测试用的Site Key和Secret Key，本地开发时用这些密钥可以跳过真实验证，方便测试正常流程和验证失败场景。
• 模拟验证失败：故意提交错误的Captcha令牌，检查后端是否返回错误并拒绝表单提交。

正常用户流程验证 #

• 手动填写表单：模拟真实用户的操作速度和行为，正确填写所有字段和Captcha，确保表单能正常提交，不会被误拦截。
• 边界场景测试：比如填写合法但不常见的邮箱格式、包含特殊字符的内容，验证系统不会误判为垃圾提交。

内容的提问来源于stack exchange，提问作者ELIZ Des