启用Google reCaptcha后PHPMailer仍发垃圾邮件的解决咨询

嘿，我完全懂你现在的困扰——明明已经用上了PHPMailer和Google reCaptcha，还是有垃圾邮件悄咪咪发出去，这事儿确实闹心！结合你的场景，我给你整理了几个能补上漏洞的实用措施，应该能帮你把漏网的垃圾邮件拦下来：

• 如果你现在用的是reCaptcha v2，建议升级到v3版本。它会根据用户的行为打分，默认阈值是0.5，你可以把它调得更严格（比如要求分数≥0.7才允许发送），机器人模拟的操作一般分数都很低，能直接被过滤掉。
• 千万不能只靠前端验证reCaptcha！在你的send_email.php里，必须严格校验Google返回的响应：不仅要确认success字段为true，还要核对hostname是否匹配你的域名，防止有人用自己的reCaptcha密钥来调用你的接口。
• 给reCaptcha加上动作绑定：前端调用时指定action: 'submit_contact_form'，后端校验时也要核对这个动作值，避免通用的reCaptcha令牌被恶意复用。

前端验证只能挡挡普通用户，机器人完全可以绕过前端直接请求你的send_email.php，所以后端必须再做一遍硬核验证：

• 强制校验所有必填字段：比如姓名、邮箱、内容必须存在且不为空，邮箱格式用filter_var($email, FILTER_VALIDATE_EMAIL)严格校验，不符合直接拒绝。
• 用上蜜罐技术：在表单里加一个隐藏的input（比如<input type="hidden" name="honeypot" style="display: none !important;">），正常用户看不到不会填，机器人会自动填充。后端只要检测到这个字段有值，直接终止发送流程。
• 限制提交频率：用session或者数据库记录用户的IP和提交时间，比如1分钟内超过5次提交就拒绝，或者要求两次提交间隔至少30秒，防止批量垃圾请求。
• 限制字段长度：比如内容字段不能超过1000字，邮箱地址长度不超过64字符，避免垃圾内容批量注入。

垃圾邮件通常有明显的特征，我们可以在后端提前拦截：

• 关键词过滤：维护一个垃圾关键词列表（比如“免费贷款”“刷单”“中奖”“点击这里”这类），检查邮件内容里是否包含这些词，一旦命中直接拒绝。
• 封禁临时邮箱：很多垃圾邮件用的是10分钟临时邮箱，你可以维护一个临时邮箱域名列表，后端校验邮箱域名时如果在列表里，直接拒绝。
• 加自定义邮件头：在PHPMailer里添加$mail->addCustomHeader('X-Spam-Check: Verified');，接收方邮箱可以根据这个头来辅助识别合法邮件，也方便你后续排查问题。

有时候垃圾邮件能发出去，可能是你的SMTP设置不够严谨：

• 如果你用的是Google SMTP（比如Gmail），一定要开启两步验证，然后用应用专用密码登录，别用普通密码，防止SMTP账号被滥用。
• 给你的域名配置SPF、DKIM、DMARC记录，这三个DNS记录能大幅提升你的邮件信誉，让接收方邮箱更容易识别你的邮件是合法的，也能防止别人伪造你的域名发垃圾邮件。
• 规范邮件格式：避免用全大写、大量感叹号这类垃圾邮件常见的格式，主题要清晰，内容结构合理，减少被接收方邮箱误判为垃圾的概率。

• 双重验证：可以配合reCaptcha再加一个简单的验证，比如数学题（“请输入2+5的结果”），或者hCaptcha这类替代方案，增加机器人的绕过难度。
• 黑名单机制：定期查看邮件发送日志，把发送垃圾邮件的IP、邮箱记录下来，加入服务器防火墙或者.htaccess的黑名单，直接拒绝这些来源的请求。
• 人工审核（小流量站点适用）：如果你的网站访客不多，可以对新用户的第一次提交做人工审核，确认不是垃圾后再发送邮件。

最后记得检查一下你当前的send_email.php，确保reCaptcha的校验逻辑没有遗漏，后端的表单验证也都到位了，这些细节往往是垃圾邮件的突破口！

内容的提问来源于stack exchange，提问作者Malik