我有一个CAPTCHA系统,有些东西它总是要求代码,而对于其他东西,它会每10分钟询问一次.
我想你想看看用户是否点击了自己,坐在他的电脑前.
新想法
在您的表单上放置多个图像提交：
<input type="image" name="send1" src="buttons.PHP?i=1" /> ... <input type="image" name="send8" src="buttons.PHP?i=8" />
生成表单时获取1到8之间的随机数并将其保存在$_SESSION [‘submitnumber’]中.
创建两个相同大小的图像 – 一个空填充表单中的默认背景,另一个看起来像提交按钮.
创建将使用以下代码输出图像的buttons.PHP：
header("Content-Type: image/jpeg");
flush();
readfile($filename);
如果$_GET [i]！= $_ SESSION [‘submitnumber’]返回提交图像,则返回空图像.
如果单击了正确的图像提交,则接受表单(当用户单击按钮时,浏览器将发送类似send1X的coords)
这是一种验证码,但人们不会知道;)
老想法
你需要两件事：
put< input type =“hidden”name =“timertoken”value =“someweirdstring”/>
并生成“someweirdstring”作为某些(用户名和时间)的md5哈希 – 依赖的东西.我可以详细说明这一点,但这是安全和CSRF攻击阻止的基本形式标记.发布后验证令牌.
例：
这不是令牌机制的典型实现,但它就足够了.
$token=generatesomerandomtext();
$_SESSION['token']=$token;
//... somewhere later when outputing forms:
echo '<input type="hidden" name="token" value="'.$token.'" />';
//and when it comes back:
if($_POST['token']==$_SESSION['token']) {
//it's ok
}
这就是你需要的一切.
这个简单的例子为每个页面创建一个唯一的标记并放入表单.它不依赖于时间而且不使用md5,但将令牌存储在会话中.要自动发送将被接受的表单,此人必须使用您生成或复制令牌的表单.
真正的表单令牌示例更像是这样的：
$token = md5($username.ome secret text’.$date.$timeRoundedTo10Minutes);
//... somewhere later when outputing forms:
echo '<input type="hidden" name="token" value="'.$token.'" />';
//and when it comes back:
if(
($_POST['token']==md5($username.'some secret text'.$date.$timeRoundedTo10Minutes)) ||
($_POST['token']==md5($username.'some secret text'.$date.$timeRoundedTo10Minutes-10minutes)) ) {
//it's ok
}
为什么用户名？因为它消除了使用一个用户的令牌来破解另一个用户的可能性
为什么要保密文字(称为’盐’)？因为有人可以随着时间的推移将其他用户的名字粘在一起并做md5,但是没有猜测他不能的盐.
为什么两个比较？因为如果现在是22:44:59 – 令牌是在22:40生成的,如果用户发送它是22:45:30所以它会四舍五入到22:50并且只有在你把它取回10分钟时才匹配令牌.
这是一个基本的例子.供参考,请参阅this问题.
2将提交按钮更改为< input type =“image”...,因为它会发布单击按钮的位置的x和y坐标.我不知道是谁在规范中提出这个问题,但这是第一次使用它！
