captcha - 隐形验证码

Question

我在网站的表单提交中使用以下安全性(不可见验证码)以防止自动提交:

1. 生成数字x上带有固定盐的md5结果并渲染它在表单内作为隐藏字段
2. 生成 2 个隐藏字段 a 和 b，其中 a + b = x，a 和 b 为未加密
3. 提交后，使用 javascript 添加另一个普通隐藏字段 c其中c=a+b
4. 在服务器端将md5应用到c上并加盐，与加密的进行比较x

然而这样的系统在生产中被破解，一个人能够成功自动提交数千份表格。知道怎么做吗？

一种方法是，黑客已经知道该操作是+(通过观察javascript很容易找出)，读取表单并添加a和b，创建一个带有额外c字段的新表单，其中c =a+b。他必须首先阅读表单，然后创建一个用于提交。

我的问题是:

1. 我上面提出的假设是破坏我的系统的可能方法吗？
2. 如果是这样，我应该怎样做才能防止这种黑客攻击？
3. 黑客可能会使用哪些其他替代黑客手段？

我不想使用真正的验证码，因为它会降低用户体验。欢迎所有建议。

Answer 1

或者，黑客可以自己执行您的 JavaScript。

如果你想验证用户不是机器人，你必须让用户做一些机器人不能做的事情。就这么简单。