Ботобор

[ Домашняя страница ] [ Документация по API ]

Принципы работы

Самый распространённый на сегодняшний день способ защиты веб-форм от роботов — заставить пользователя доказать, что он человек, путём выполнения действий, которые роботу выполнить затруднительно (CAPTCHA). Вот только с точки зрения удобства использования это не очень хорошо. Ведь таким образом мы заставляем пользователя выполнять ненужные ему и не всегда простые действия.

Нед Батчелдер предлагает зайти с другого конца. Вместо того, чтобы заставлять напрягаться наших любимых, но ленивых пользователей разбирать, заставить роботов выдать себя. Подробно об этом написано в его статье Stopping spambots with hashes and honeypots.

Ботобор представляет собой библиотеку PHP, реализующую идеи Неда. На данный момент используются следующие проверки (любая из них может быть отключена):

• между созданием формы и её отправкой прошло слишком мало времени;
• между созданием формы и её отправкой прошло слишком много времени;
• заполнено хотя бы одно поле-приманка (см. ниже);
• заголовок REFERER не совпадает с адресом, где была размещена форма.

Кто может сказать: «Эй, да это же всё обходится в два счёта!». Конечно, так и есть. Но Ботобор не ставит своей целью абсолютную защиту (да такое и невозможно). Цель Ботобора скромнее — уменьшить вероятность заполнения формы роботом, не напрягая при это пользователей-людей. Кстати, Ботобор и CAPTCHA могут использоваться вместе: Ботобор в качестве первой линии обороны, CAPTCHA в качестве второй, если остаются сомнения в человечности пользователя. Подробнее об этом будет написано ниже.

Установка

Во-первых, Вы можете просто скачать файл botobor.php и подключить его к своему проекту любым удобным Вам способом.

Во-вторых, можно использовать composer:

php composer.phar require mekras/botobor:~0.4.0

Использование

Простой пример

Код PHP, создающий форму:

<?php
require 'path/to/botobor.php';
...
// Получите разметку формы тем способом, который предусмотрен у вас в проекте, например:
$html = $form->getHTML();
// Создайте объект-обёртку:
$bform = new Botobor_Form($html);
// Получите новую разметку формы
$html = $bform->getCode();

Код PHP, обрабатывающий форму:

<?php
require 'path/to/botobor.php';
...
if (Botobor_Keeper::get()->isRobot())
{
    // Форма отправлена роботом, выводим сообщение об ошибке.
}

Пример с опциями

Можно менять поведение Ботобора при помощи опций. Например, для форм комментариев имеет смысл увеличить параметр lifetime (наибольший промежуток между созданием и отправкой формы), т. к. посетители перед комментированием могут долго читать статью.

Это можно сделать так:

<?php
$bform = new Botobor_Form($html);
$bform->setLifetime(60); // 60 минут

Подробнее об опциях см. описание методов setCheck, setDelay и setLifetime в документации API.

Пример с приманкой

Поля-приманки предназначены для отлова роботов-пауков, которые находят формы самостоятельно. Такие роботы, как правило, ищут в форме знакомые поля (например, name) и заполняют их. Ботобор может добавить в форму скрытые от человека (при помощи CSS) поля с такими именами. Человек оставит эти поля пустыми (т. к. просто не увидит), а робот заполнит и тем самым выдаст себя.

В этом примере поле «name» будет сделано приманкой. При этом имя настоящего поля «name» будет заменено на случайное значение. Обратное преобразование будет сделано во время вызова метода Botobor_Keeper::handleRequest (вызывается автоматически из Botobor_Keeper::isRobot).

$bform = new Botobor_Form($html);
$bform->setHoneypot('name');

Определение провалившейся проверки

Иногда может потребоваться узнать, почему именно Ботобор решил, что посетитель — робот, какую именно проверку посетитель не прошёл. Для этого можно воспользоваться методом Botobor_Keeper::getFailedCheck(), который возвращает имя проваленной проверки. Имена проверок указаны в документации по API.

Совместное использование с CAPTCHA

Ботобор может использоваться совместно с CAPTCHA. Один из вариантов может быть таким. Если проверка Ботобором показала, что форму заполнил робот, можно поступить так же, как в похожей ситуации поступает Яндекс — запросить ввод кода с картинки. В коде это может выглядеть как-то так:

<?php
function checkRequest()
{
    // Проверяем, использовался ли CAPTCHA в этом запросе
    if ($someCaptcha->isUsedInThisRequest())
    {
        /*
         * Попадание сюда говорит о том, что посетитель уже проходил, но не прошёл проверку
         * Ботобором и сейчас проходит проверку CAPTCHA. По итогам этой проверки мы либо признаём в
         * посетителе человека, либо окончательно отказываем ему.
         */
         if (!$someCaptcha->isPassed())
         {
             $this->showErrorNotify();
         }
    }
    elseif (Botobor_Keeper::get()->isRobot())
    {
        /*
         * Попадание сюда горовит о том, что посетитель не прошёл проверку Ботобором. На случай если
         * это было ложное срабатывание, мы дадим посетителю возможность пройти CAPTCHA, чтобы
         * доказать, что он не робот.
         */
         $this->showCaptcha();
    }

    // Посетитель — человек, можно обрабатывать его запрос
    $this->processRequest();
}