网站评论验证码如何部署｜抵御机器灌水留言（防骚扰配置教程）

2. 在评论表单的 `` 标签内部，找到“提交按钮”（通常是 `` 或 ``）之前的位置。

3. 插入以下HTML代码，将 `YOUR_SITE_KEY` 替换为你刚才复制的**站点密钥**：

```html

```

4. 在网页的 `` 标签内（或页面底部），加载reCAPTCHA的JavaScript库。添加以下代码：

```html

```

5. 保存文件并刷新前台页面，你应该能看到一个“我不是机器人”的复选框出现在评论框和提交按钮之间。

**步骤3：在后端处理评论时验证验证码**

1. 找到处理评论提交的后端文件。对于WordPress，通常是 `wp-comments-post.php` 或通过 `functions.php` 中的钩子处理。对于自建网站，就是你的表单处理程序（例如 `comment.php`）。

2. 在接收评论数据并写入数据库之前，添加验证逻辑。以下是一个PHP示例代码，将其插入到合适位置（例如WordPress的 `functions.php` 中，通过 `pre_comment_on_post` 动作钩子触发）：

```php

// 获取前端提交的验证码响应

$recaptcha_response = $_POST['g-recaptcha-response'];

// 如果响应为空，说明用户未通过验证

if (empty($recaptcha_response)) {

wp_die('请完成“我不是机器人”验证。'); // 或重定向回评论页面并显示错误

}

// 向Google服务器发送验证请求

$secret_key = 'YOUR_SECRET_KEY'; // 替换为你的密钥

$verify_url = 'https://www.google.com/recaptcha/api/siteverify';

$response = file_get_contents($verify_url . '?secret=' . $secret_key . '&response=' . $recaptcha_response);

$response_data = json_decode($response);

// 判断验证是否成功

if (!$response_data->success) {

wp_die('验证码验证失败，请重试。');

}

// 验证通过，继续执行后续评论处理代码

?>

```

**重要**：将代码中的 `YOUR_SECRET_KEY` 替换为你的**密钥**。如果你不是WordPress用户，将 `wp_die()` 替换为你自己的错误处理方式（例如 `die('验证失败')` 或 `header('Location: ...')`）。

**步骤4：测试验证码是否生效**

1. 刷新你的网站文章页面，在评论框中输入一些文字。

2. 点击“我不是机器人”复选框，确保出现绿色勾号。

3. 点击提交评论，观察是否正常发布。

4. 使用浏览器的“无痕模式”或清除cookies，再次尝试不勾选复选框直接提交评论。此时应该出现错误提示，评论被拦截。

5. 如果一切正常，说明部署成功。

#### 方案二：部署极验验证码（滑动拼图版，适合国内用户）

**步骤1：注册极验账号并创建应用**

1. 打开极验官网：`https://www.geetest.com`，点击右上角“注册”。

2. 使用手机号或邮箱完成注册。

3. 登录后，进入控制台，点击“创建应用”。

4. 输入应用名称（例如“我的网站评论”），选择“Web”平台。

5. 在“域名白名单”中，输入你的网站域名（例如 `example.com`）。可以添加多个，用逗号分隔。

6. 点击“确认创建”。创建成功后，你会得到 `ID` 和 `KEY` 两串字符。同样，请保存好。

**步骤2：下载并引入极验SDK文件**

1. 极验需要服务端和客户端两套代码。访问极验官方文档或GitHub仓库，下载PHP SDK（例如 `gt-php-sdk`）。

2. 将SDK文件夹上传到你的网站服务器根目录（例如 `/geetest/`）。

3. 在你的评论处理文件（例如 `comment.php`）中，引入SDK的核心文件：

```php

require_once('/path/to/geetest/class.geetestlib.php');

require_once('/path/to/geetest/config.php');

```

确保路径正确。

**步骤3：修改评论表单前端代码**

1. 在评论表单的 `` 标签内，提交按钮之前，添加一个用于显示滑动验证码的容器：

```html

```

2. 在页面底部（或 `` 中），引入极验的JS库并初始化验证码。将 `YOUR_GEETEST_ID` 替换为你的ID：

```html

```

3. 保存前端文件，刷新页面，你应该能看到一个“点击按钮开始验证”的滑块区域。

**步骤4：后端验证逻辑**

1. 在你的评论处理文件（`comment.php`）中，在写入数据库之前，添加极验验证代码。以下是一个简化示例：

```php

// 引入极验SDK

require_once('geetest/class.geetestlib.php');

require_once('geetest/config.php');

// 获取前端提交的验证参数

$geetest_challenge = $_POST['geetest_challenge'];

$geetest_validate = $_POST['geetest_validate'];

$geetest_seccode = $_POST['geetest_seccode'];

// 实例化极验对象

$GtSdk = new GeetestLib($GEEETEST_ID, $GEEETEST_KEY);

// 进行二次验证

$result = $GtSdk->validate($geetest_challenge, $geetest_validate, $geetest_seccode);

if ($result === TRUE) {

// 验证通过，执行评论插入代码

// 例如: insert_comment($_POST);

} else {

// 验证失败，返回错误

die('滑动验证失败，请重试。');

}

?>

```

注意：`$GEEETEST_ID` 和 `$GEEETEST_KEY` 需要在 `config.php` 中定义，或者直接在此文件中定义。

**步骤5：测试极验验证码**

1. 刷新前台页面，点击滑块区域，完成拼图验证。

2. 提交评论，确认可以正常发布。

3. 不完成拼图直接提交，应被拦截。

### 常见问题

**Q1：部署后验证码不显示，只显示空白或加载失败？**

- **原因**：最常见的是网络问题（reCAPTCHA被墙）或域名未正确配置。对于reCAPTCHA，检查你的服务器是否能访问 `google.com`。对于极验，检查域名白名单是否包含了你当前访问的域名（包括 `www`）。

- **解决**：如果reCAPTCHA无法加载，请切换至极验方案。检查你的站点密钥是否复制正确，以及HTML代码是否放在了 `` 标签内。

**Q2：验证码显示正常，但提交评论时总提示验证失败？**

- **原因**：后端密钥配置错误，或者后端验证代码没有正确获取到前端提交的 `g-recaptcha-response` 参数。

- **解决**：仔细核对后端代码中的密钥是否与后台一致。检查 `$_POST` 数组是否包含该字段。对于PHP，可以临时添加 `var_dump($_POST); die();` 来查看提交了哪些数据。

**Q3：用户反映验证码太难操作，影响评论体验？**

- **原因**：reCAPTCHA v2的“我不是机器人”已经比较友好，但极验的滑动拼图在移动端可能不太顺手。

- **解决**：可以考虑升级到reCAPTCHA v3（无感验证），它根据用户行为打分，完全不需要用户点击。或者调整极验的样式配置，使其在移动端更易操作。也可以为已登录的信任用户取消验证码（通过判断用户角色或积分）。

**Q4：部署后网站速度变慢？**

- **原因**：验证码脚本需要从外部服务器加载，会增加HTTP请求。极验的SDK文件如果放在本地，加载速度较快。

- **解决**：将极验的JS库和CSS文件合并压缩，或使用CDN加速。对于reCAPTCHA，可以将其JS脚本异步加载（已使用 `async defer`）。

**Q5：如何为不同页面设置不同的验证码策略？**

- **原因**：你可能只想在评论页面启用，而登录、注册页面不需要。

- **解决**：不要全局加载验证码脚本。只在包含评论表单的页面模板中引入相关代码。例如，在WordPress中，使用 `is_single()` 条件判断，只在文章页面加载。

### 收尾总结

通过以上步骤，你已经成功为网站评论系统部署了验证码防护。无论是Google reCAPTCHA还是极验验证码，核心原理都是利用前端挑战和后端验证的双重机制，让机器脚本无法自动提交，而真实用户只需简单操作即可通过。部署完成后，建议定期检查验证码服务是否正常运行（例如Google服务是否被屏蔽），并关注后台评论数据，观察垃圾留言是否显著减少。如果发现仍有漏网之鱼，可以考虑将验证码强度升级为v3无感验证或结合IP频率限制、关键词过滤等多层防御。现在，你的评论区已经筑起了一道坚实的防线，可以安心开放给真实用户了。