增强Typecho评论系统的验证码安全性

发布者：lanran 发布日期：2024-08-13 更新日期：2024-08-14 人气指数：117

在Web开发中，防止垃圾评论和自动化脚本的侵扰是维护网站健康的重要一环。对于使用Typecho博客系统的用户来说，给评论系统添加验证码是一种常见的防御措施。本文将详细介绍如何从最基础的验证码实现，逐步增强到使用图片验证码和加密校验参数，以提供更高级别的安全防护。

最基础版本

最基础的验证码实现原理相对简单，通过给评论框添加隐藏参数和可见输入框，要求用户计算两个随机数的和。以下是具体实现步骤：

修改comments.php文件：
在模板文件中添加两个隐藏字段mp-num1和mp-num2，以及一个可见输入框mp-sum供用户输入计算结果。


   <?php $num1 = rand(1, 49); $num2 = rand(1, 49); ?>
   <span><?php _e("验证码 %s + %s =", $num1, $num2); ?></span>
   <input type="text" name="mp-sum" placeholder="<?php _e("请输入计算结果") ?>" required>
   <input type="hidden" name="mp-num1" value="<?php echo $num1; ?>">
   <input type="hidden" name="mp-num2" value="<?php echo $num2; ?>">

添加验证码校验逻辑：
在functions.php中，通过插件机制添加验证码校验函数。

   Typecho_Plugin::factory('Widget_Feedback')->comment = ['XComment', 'feedbackFilter'];
   class XComment {
       // ... 省略getRequest方法

       public static function feedbackFilter($comment, $archive) {
           $request = self::getRequest();
           $sum = $request->filter('intval')->get('mp-sum');
           $num1 = $request->filter('intval')->get('mp-num1');
           $num2 = $request->filter('intval')->get('mp-num2');
           if ($sum !== ($num1 + $num2)) {
               throw new \Typecho\Widget\Exception(_t('对不起: 验证码错误，请<a href="javascript:history.back(-1)">返回</a>重试。', '评论失败'));
           }
       }
   }

验证码输出为图片

为了提升验证码的安全性，防止简单的脚本攻击，我们可以将验证码以图片的形式展示给用户。这通常涉及到使用PHP的GD库来生成图片。

实现步骤（略过具体代码实现，因为需要较长的篇幅来详细解释GD库的使用）：

生成验证码图片：使用GD库生成包含随机文本的图片，并设置适当的干扰元素（如线条、噪点）。
将验证码文本存储在Session中：在生成图片的同时，将验证码文本存储在Session中，以便后续验证。
在前端显示验证码图片：将生成的图片以<img>标签的形式嵌入到HTML中。

加密校验参数

虽然将验证码输出为图片增加了破解难度，但校验参数仍然是明文传输的，存在被截获的风险。因此，我们可以进一步通过Session来加密校验参数。

实现步骤：

移除前端的mp-num1和mp-num2字段：用户不再需要知道这两个随机数。
在服务器端生成随机数并存储在Session中：

   session_start(); // 确保Session已启动
   $num1 = rand(1, 49);
   $num2 = rand(1, 49);
   $_SESSION['mp-sum'] = $num1 + $num2;

修改前端显示逻辑：仅显示验证码图片和输入框，不再显示随机数。
修改验证码校验逻辑：仅从Session中获取mp-sum进行验证。

   public static function feedbackFilter($comment, $archive) {
       $request = self::getRequest();
       $sum = $request->filter('intval')->get('mp-sum');
       if ($sum !== $_SESSION['mp-sum']) {
           throw new \Typecho\Widget\Exception(_t('对不起: 验证码错误，请<a href="javascript:history.back(-1)">返回</a>重试。', '评论失败'));
       }
   }