forms - 使用CSRF表单 token 是否有助于预防垃圾邮件？

Question

我试图阻止bot从(可能)向我的php注册文件提交虚假数据。我正在创建一个使用注册/登录系统的网站，我想添加我能够提供的电子邮件验证。但是问题是我的网络托管服务器每分钟只允许x数量的电子邮件，如果一个机器人要发送垃圾邮件，这不仅将使我的数据库充满垃圾邮件帐户，而且还将因违反电子邮件限制而被暂停。

我一直在阅读有关保护表单的信息，CSRF出现了，这是我不熟悉的术语。

这是我目前对CSRF预防的“ token 方法”的理解；

加载包含表单的页面时，创建一个 token 。将 token 存储在SESSION或cookie中。

运行处理注册的PHP文件时，它将检查 token 。如果表单中提交的内容不匹配(或者SESSION中未设置 token )，则请求为垃圾邮件。

我不明白为什么该漫游器不能简单地从HTML表单中获取 token 并提交 token 。我知道它每次都会改变，难道不是每次都能捕获它吗？

我认为机器人只会使用CurL或类似的方式提交数据，从而绕过实际提交HTML表单的需要，而是直接将数据发送到PHP文件。

我的问题本质上是，为什么以及如何防止僵尸程序提交我的注册表格(或与此有关的任何表格)。

Answer 1

My question is essentially, why and how does this method prevent against bots submitting my registration form (or any form for that matter).

没有。

CSRF代表“跨站点请求伪造”，此类 token 可帮助防止这种情况-用户被欺骗从另一个站点向您的站点提交表单，这与垃圾邮件无关。

为了防止垃圾邮件，您应该使用某种形式的验证码挑战。