虚假表单提交：结合分层验证与行为审核

减少虚假表单提交需要服务器端验证和滥用行为审核，而不是承诺一个 CAPTCHA 或 IP 评分就能区分所有真实潜在客户与自动化。设计时要兼顾合法完成和无障碍访问。

添加限制前先核实表单

检查必填字段、允许格式、提交限制和确认流程。即使浏览器也会验证，仍要在服务器验证。审核接收系统，避免把重复事件或集成重试误当成不同线索。不要将私密表单内容暴露在分析数据或公开证据中。

让控制措施匹配行为模式

• 对格式错误或不可能的值使用验证。
• 对针对端点的重复请求使用适当速率限制。
• 当行为足以支持增加操作门槛时，考虑验证挑战。
• 独立于流量启发式判断，审核已接收线索的结果。

防 CSRF 控制应对的是另一种威胁，并不是通用防机器人方案。网络标签只是辅助背景；共享 IP 或 VPN 标记不能证明提交是假的。

示例：短时间内快速重复提交相同内容

假设相同消息在短时间内反复到达。检查是否是集成重试或前端缺陷造成重复提交。如果行为证据支持滥用，测试端点专用限制或验证挑战，并确认普通访客仍可提交、收到错误提示并恢复。该示例用于说明问题，不能据此屏蔽整个服务商。

同时监测拒绝与成功完成

视情况跟踪已接收线索、验证错误、挑战放弃和投诉。为新限制设定复审日期与回滚条件。提交总量降低，并不单独意味着线索质量提高。

SearchBastion 跟踪的交互和 IP Checker可以帮助确定调查优先级；它们不会自动验证线索的身份或商业意图。为已观察到的行为选择控制措施时，请参考 OWASP 自动化威胁指南。