官网表单被垃圾提交刷，验证码该加在哪些入口

官网表单被垃圾提交刷，靠「事后删留言」是治不好的，要在提交入口就挡住机器人。reCAPTCHA 验证码正是为这一步设计：在表单接入后，由它区分真人和脚本，把批量灌水挡在写入之前。系统内置 reCAPTCHA 验证码能力，可挂到对外表单上。但真正决定效果的，是验证码加在哪些入口——加错地方，该挡的没挡住。

哪些入口最容易被刷

判断要不要加验证码，看两个特征：是否允许匿名写入，是否能被脚本批量触发。同时满足这两点的入口，就是垃圾提交的重灾区。留言板和文章评论首当其冲，它们本就对访客开放，脚本可以不停提交广告与违规链接。注册与登录、找回密码这类入口次之，被刷会带来撞库和短信/邮件轰炸。再就是「联系我们」「合作咨询」等对外表单，填写门槛低，最容易被批量灌水。反过来，只在后台由编辑操作的入口，一般不必加验证码，加了反而添麻烦。

reCAPTCHA 在表单里怎么接

原则是优先保护对外可写的表单入口，而不是全站一刀切。接入时把验证环节放在提交动作之前，让脚本在没通过人机校验时压根提交不上来，而不是提交后再过滤。对不同入口可以分级：留言、注册这类高频被刷的入口用较强的人机校验，普通合作表单用较轻的方式，避免正常用户被过度打扰。要点是「谁对外可写、谁被刷得多，就先给谁加」，把防护用在刀刃上。

和敏感词、干扰码怎么分层

验证码挡的是「机器提交」，但它管不了「内容本身合不合规」，也管不了「内容会不会被批量采集」。这就要分层：表单入口用 reCAPTCHA 挡机器人，写入内容用敏感词过滤做内容安全，对外展示用防采集干扰码保护内容不被批量采集。三者作用在不同环节——一个挡提交、一个管内容、一个防搬运。把这三层分开理解，就不会误以为「装了验证码就什么都能防」。AnQiCMS 把干扰码这类防护内置在内容层，和表单的验证码各守一段。

常见问题

所有表单都要加验证码吗？ 不必。优先给匿名可写、易被脚本批量触发的入口加，后台内部操作入口通常不需要。

加了验证码还被刷怎么办？ 说明被刷的可能是没覆盖的入口，或该校验强度不够；先补全对外可写入口，再对高频入口提升校验等级。

验证码能代替内容审核吗？ 不能。验证码区分人机，内容合规要靠敏感词过滤与审核，二者属不同层，需并存。