Почему именно каптча? Защита от роботов? Страница с кучей форм на всеобщем обозрении?

Есть такая штука - токен. Используется, в частности, для предотвращения CSRF.
Делает 3 вещи: гарантирует, что форма отправлена с предыдущим ее получением с сайта (токен генерируется при генерации страницы); что форма отправлена в той же сессии (токен хранится в сессии); что эта же форма не будет обработана второй раз (при получении токена он аннулируется).
В частности, как следствие, при открытии новой вкладки старая вкладка делается невалидной.

Оной способ можно модифицировать:
Генерировать токен только при отсутствии его в сессии.
Хранить токены по именам полей в форме.
Время жизни токена добавить по вкусу.

Получается следующее:
При открытии страницы на каждое скрытое поле с токеном генерируется токен. 
При открытии еще одной вкладки все токены те же самые, взяты из сессии.
При получении формы ее токен аннулируется.
При открытии еще одной вкладки все формы по прежнему валидные, но у ранее отправленных уже новые токены.
Можно открыть столько вкладок, сколько форм и с каждой по очереди отправить каждую следующую форму.
Одну и ту же форму с двух вкладок отправить невозможно (токен для формы только один и он одноразовый).
Милый бонус - формы в чистом виде, без лишний полей в виде каптч.


А для защиты от роботов на всю страницу всучить одну единственную каптчу где-то вверху/внизу и все...

Это сообщение отредактировал(а) Arantir - 19.7.2013, 02:30

Потому, что в техзадании написано - для нерегистрированного юзера, формы защищаются капчей. Не обсуждается и не лечится  

Да,  это такой макет. Тоже не лечится. Сам сайт - ненагруженный, нераскручиваемый. По содержанию, периодически устраиваемые узкопрофильные конференции, пара страниц + новости. регистрация участников на очередную конференцию (бывает несколько одновременно) на сайте прямо на главной. 

Это реальный пример из реального проекта. Я понимаю, что можно придумать более удобные средства проверки, но пока рисуются такие макеты - летаем на том, что нарисовали.

Про токен - в теперешней реализации - оказывается он есть у меня.   При наличии в сессии фактов: 1- запроса страницы с формой (токен появляется) 2- запроса картинки броузером (слово появляется) форма может проверятся. Если исключить факт ручного ввода юзером капчи - получится токен, практически в чистом виде, разве что привязки немного другие. Надо будет подумать, куда можно пристроить.

Ежели про теорию.
Нормальное, imho, устройство защиты сайта капчей - это капча, появляющаяся раз в 5 минут при очередной отсылке формы с сайта. Формально, каждая форма имеет капчу. Просто при проверке первой формы устанавливается в сессии флажёк - `капчу не проверяем 5 минут`, выставляем куку и с каждой формы сайта по куке скрываем поле с капчей. По истечении времени - показываем (в куке написано время). 

Воткнул в рабочий проект, полет пока нормальный.

собственно класс

пример использования

Сам проект на github.

Из принципиальных плюсов - картинка не перерисовывается при перерисовке страницы. 

Из тонких моментов 

-- информация о конфигурации капчи хранится в сессии. Это позволяет не подключать окружение сайта при генерации картинки.
-- 2 режима работы файла - поставщик класса в систему и генератор картинки. 
-- использование htaccess обязательно.

Хотел посмотреть на гите а там фейк)   

Блин! При входе на гит мне тамошний робот говорит про 
Че это он?

Если я захожу с компьютера, с которого не ходил в гугл, то тоже показывает 404 страницу. :( Вступил в переписку с роботом, может что умное расскажет.

Вот, пример использования, раз уж такая пьянка


оно же на тестовом сайте

Это сообщение отредактировал(а) ksnk - 25.7.2013, 14:38

Я первый  раз вижу что бы акк блокировали
Ты наверное быстро комиты отправляешь.

Так да, вроде хорошо получилось

Разблокировали гитхаб. Не прошло и 3х дней. Что было - не объясняют, сорри, типа, ошибочка вышла. Ну да и ладно.

Можно смотреть сам проект, если интересно.