Siemka!
Ostatnio wziąłem się za pewien projekt gry przeglądarkowej. Jak wiadomo taką grę trzeba jakoś zabezpieczyć przed botami automatycznie wykonującymi pewne prace itp. Oczywiście rejestracja wymaga potwierdzenia linkiem z e-mail'a. Problem pojawia się z logowaniem. Nie chciałbym dodawać żadnej captchy bo wiem, że jest to dość uciążliwe rozwiązanie dla użytkownika. Stwierdziłem, że najlepszym pomysłem będzie wychwycenie podejrzanych zachowań i na ich podstawie wykrywanie czy ktoś używa automatu czy nie. Teraz pytanie do was, na co powinienem zwracać szczególną uwagę? Jakie są zachowania charakterystycznie dla botów? I ostatnie: czy ew. logowanie każdej akcji użytkownika do bazy to duże obciążenie dla serwera?
Z góry dzięki za pomoc

Żadne zabezpieczenie


W większości przypadków jw.

Logowanie każdej akcji do bazy chyba jest w stanie zajechać każdy serwer przy dużej oglądalności. Chociaż Facebook prawdopodobnie loguje od cholery danych, które potem może wykorzystać, ale to jednak trochę inna liga.

Zamiast captchy spróbuj ASIRRA
http://research.microsoft.com/en-us/um/red...rojects/asirra/

Co prawda to micro$hit, ale to rozwiązanie akurat dobre mają.

Tutaj example:
http://www.asirra.com/examples/ExampleService-PHP.html

I tu art po polsku:

http://blog.kmg.hcm.pl/captcha-i-asirra/

ASIRRA to ciekawe rozwiązanie ale ja szukam czegoś bardziej kompaktowego. Wyjeżdżanie z 12 obrazkami to nie jest coś czego bym chciał. W sumie to najprościej byłoby zmienić zawartość formularza za pomocą JavaScriptu ale to z kolei sprawi problemy użytkownikom, którzy mają go wyłączonego.

Właśnie najlepiej kombinować z JS. Boty z reguły działają o cURL i podobne technlogie, a to znaczy, że JavaScript i jego manipulacje, choćby w DOM, są dla nich niewidoczne A jeśli już ktoś gra w grę przeglądarkową, to niemal murowane, że ma JS włączony

Za dużo w sensie kB czy ilości (12)?

Za dużo w sensie miejsca jakie zajmuje cała łamigłówka. Nie oszukujmy się, jest to rozwiązanie raczej mało poręczne np. przy wąskim pasku logowania tak jak na tym forum u góry

Wydaje mi się, że zabezpieczę się po prostu jakąś manipulacją w JavaScript, a dla tych, którzy tego zabezpieczenia nie przejdą albo dam komunikat o wymaganym JS albo zaserwuję reCaptche.
W sumie thek rozwiałeś moje wątpliwości. Temat do zamknięcia

Tak, tylko za "zawartość" musiała by być unikalna dla każdej, powiedzmy sesji. Bo ktoś kto zrobi bota, nie będzie parsował kodu, on będzie już wiedział co ma przesłać. Chyba, że napotka trudną captche, lub inne zabezpieczenie, które będzie wymagało czegoś, co potrafi tylko istota myśląca

Czyli odróżnianie kotów od psów.

Nawet add-on do wordpressa napisali, a sam byłem inicjatorem przystosowania tego pod phpBB by przemo.