php - Symfony2 表单最佳实践

Question

我想知道在 Symfony2 中除了默认的 csrf 隐藏字段之外，您是否会在普通网站的表单中添加其他证券。

我假设表单是使用表单生成器制作的，默认情况下不会向用户显示验证码。

我听取了一些建议 http://nedbatchelder.com/text/stopbots.html和 https://www.stanford.edu/dept/its/communications/webservices/wiki/index.php/How_to_implement_a_SPAM_control_countermeasure_that_remains_accessible_using_the_Stanford_Web_Application_Toolkit

1) 你会在时间戳/日期时间 + salt 上添加一个值为 base64_decode & base64_encode 的隐藏字段吗？

因此，您可以将发送表单的时间限制在 [ 3 秒； 1 天 ] 具有验证约束。

这会惹恼回放机器人和填表机器人

2) 您是否会添加一个用 CSS(蜜 jar )隐藏的文本字段，以便机器人在提交表单时填充它？然后创建一个验证约束，以便如果该字段不为空，则表单提交无效(如果需要进一步操作，可能会登录您的数据库 ip 和用户代理)。

这会惹恼填表机器人。

3) 随机化字段名称和 ID，以便播放机器人在不重新加载网站页面的情况下无法发送表单。 (虽然我还没有测试随机名称是否会给表单生成器带来问题)

这会惹恼播放机器人。

4) 还有其他想法吗？

Answer 1

我最近使用了 app/config/security.yml 文件中的 access_control。在那里，您可以使用角色(您可以使用默认/匿名角色，或者您可以定义自己的角色)和 channel (http 或 https)限制对您所在路径的访问