.net - 在无状态 REST Web 服务环境中实现验证码

Question

我正在处理的项目是一段带有一些内联 JavaScript 的静态 HTML，它将调用 REST web 服务，我正在使用 .NET 3.5 WCF 创建自己。

JavaScript 将从用户那里获取一些详细信息，包括电子邮件地址，然后通过 Ajax 将这些详细信息发送到 Web 服务。然后，Web 服务会将详细信息存储在数据库中。

由于这是一个网络服务，我很确定它是无状态的。

但是项目的要求是前端 JavaScript 也要做验证码，防止垃圾邮件。

该站点本身只会运行几周(最多 6 周)，我认为这不足以让任何潜在的攻击者认真考虑关闭该站点。

出于这个原因，我已经考虑制作一个完全客户端验证码，因为传统的验证码需要一个有状态的 session 。

但是，我很想知道在无状态环境中通常会实现哪些安全措施，或者是否有人认为客户端验证码验证是错误的。

Answer 1

您甚至可能不需要验证码。许多垃圾邮件客户端太笨了，无法执行诸如 Javascript 之类的事情。您可以尝试在 Javascript 中将隐藏输入设置为某个值。

如果您的网站只运行了几个星期，那么我怀疑有人会建立一个可以解决这个问题的客户端。

也就是说，它会在没有 Javascript 的情况下欺骗用户，所以我建议在屏幕上放置一条 Javascript 删除的消息。这将具有相同的输入字段，但作为一个带有标签的复选框，说明他们需要检查它以免被忽略。