一位做包装盒的客户气冲冲来电话：后台询盘每天被灌几百条垃圾，销售按名单回邮件，还被里面夹的钓鱼链接骗着点了一圈。导出记录一看，一个月积了两千多条假询盘，真客户淹在里面。网页前端开发的表单不做防护，就是给机器人开着门，这事越早处理损失越小。
垃圾是怎么进来的
垃圾询盘九成来自脚本批量提交。机器人不加载页面样式，不执行复杂脚本，只是模拟一次表单提交动作，一晚上能扫成千上万个网站的表单。裸奔的表单在它眼里就是个信箱，填了就发。判断自己的站有没有中招很简单：后台垃圾询盘的字段是不是整齐划一，网址栏还带着奇怪的链接，基本就是脚本干的。
分层防护，各管一层
有效的防护从来不是一道墙，而是几道关卡：
- 前端校验：格式不对的当场拦下，能挡住最低级的乱填，但对机器人作用有限；
- 验证码：人机识别的主力，点选、滑块都比老式输入码体验好，机器人要付出真实成本才过得去；
- 蜜罐字段：页面上藏一个看不见的输入框，真用户不会填，机器人见框就填，一填就暴露，成本几乎为零；
- 频率限制：同一来源一分钟提交超过三次就暂时拉黑，直接掐灭批量提交的节奏。
那位包装盒客户上了蜜罐加频率限制再加一道轻量验证码，垃圾询盘从每天几百条降到个位数，开发只花了一天多。大部分垃圾根本不需要昂贵的方案，层次对了就够用。四道关卡不是都要上，按垃圾量从低到高逐级加码，先便宜的方案试一周，不够再加验证码，别一上来就上最重的配置。
别把真客户挡在门外
防护要有分寸。有客户的站配了个九宫格识别三次都过不去的验证码，垃圾是没了，真询盘也掉了一半，这种矫枉过正比裸奔还亏。分寸的把握看两个数据：垃圾拦截率和真实提交成功率，两者都看才能调对松紧。网页前端开发的反垃圾，目标是机器人进不来，而不是人进不来。调松紧的时候把后台数据拉出来看，垃圾拦截了多少、真实询盘掉了多少，两根曲线放一起，答案自己会说话。数据看得勤，松紧就好调。
两条建议：现有表单先上蜜罐加频率限制这两样，成本几乎为零，多数站点见效立竿见影；每周扫一眼后台询盘列表，垃圾率抬头说明防护被绕了，及时加码。比格网络给客户的站点都带这套标配防护，垃圾询盘的过滤效果，上线第一周就能在数据里看到。
