SPA中表单未直接POST至端点，是否需防范机器人攻击？

你确实需要担心机器人攻击，并且有必要采取防护措施，原因和具体方案如下：

为什么需要防护？ #

机器人完全可以模拟表单提交逻辑，直接调用你的signIn函数，甚至绕过前端直接请求AWS Cognito的认证端点，进行暴力破解（批量尝试邮箱+密码组合）。这不仅会提升用户账号被锁定、泄露的风险，还可能触发Cognito的请求限制，影响正常用户的使用。

具体防护方案 #

1. 优先配置AWS Cognito自带防护 #

AWS Cognito本身提供了基础安全机制，先把这些配置到位：

• 账号锁定：设置多次失败登录后的账号锁定规则，比如5次失败后锁定15分钟，阻断暴力破解的节奏。
• 速率限制：利用Cognito默认的速率限制，也可根据业务需求调整阈值，避免短时间内大量请求冲击服务。
• 高级安全功能：启用Cognito的高级安全选项，它能检测异地登录、异常设备等风险行为，自动触发验证码这类额外验证步骤。

2. 前端补充防护措施 #

• 蜜罐字段：在表单里加一个隐藏的输入框（用CSS设置display: none），正常用户看不到不会填写，机器人却会自动填充。在signIn函数里检查该字段，若有值则直接拒绝提交。
  示例HTML代码：

  <input type="text" name="honeypot" style="display: none;" />
  

  示例TypeScript代码：

  public signIn(form: NgForm): void {
    if (form.value.honeypot) {
      // 判定为机器人，终止流程
      return;
    }
    // 继续调用Cognito认证逻辑
  }
  

• reCAPTCHA验证：
  • 若能接受用户交互，选用reCAPTCHA v2（“我不是机器人”点击验证），完成验证获取token后，再执行signIn函数的认证逻辑。
  • 若想实现无感知验证，用reCAPTCHA v3，它会给每个请求打分，设置阈值（比如分数>0.7判定为真人），分数过低则拒绝提交。

总结 #

前端防护是第一道拦截线，Cognito的后端防护是核心保障，两者结合能有效降低机器人攻击的风险。

内容的提问来源于stack exchange，提问作者user2977624