如何防止联系表单被机器人滥用并发送垃圾邮件

<!-- 在页面底部或 head 中引入 reCAPTCHA API -->
<script src="https://www.google.com/recaptcha/api.js?render=YOUR_SITE_KEY"></script>

<script>
  grecaptcha.ready(function() {
    grecaptcha.execute('YOUR_SITE_KEY', {action: 'submit'}).then(function(token) {
      document.getElementById('g-recaptcha-response').value = token;
    });
  });
</script>

<form action="send_mail.php" method="post">
  <input type="text" name="first_name" placeholder="First Name" required>
  <input type="email" name="email_address" placeholder="Email" required>
  <textarea name="comments" placeholder="Your message" required></textarea>
  <!-- 隐藏域接收 token -->
  <input type="hidden" id="g-recaptcha-response" name="g-recaptcha-response">
  <button type="submit">Send Message</button>
</form>

第三步：增强 PHP 后端验证（关键！）

在 send_mail.php 开头添加 reCAPTCHA 校验逻辑，必须在 mail() 执行前完成：

// 新增：reCAPTCHA 验证（放在所有业务逻辑之前）
$secret_key = "YOUR_SECRET_KEY"; // ← 替换为你的 Secret Key
$recaptcha_response = $_POST['g-recaptcha-response'] ?? '';
if (empty($recaptcha_response)) {
    header("Location: $error_page");
    exit;
}

// 向 Google 验证 token
$verify_url = "https://www.google.com/recaptcha/api/siteverify";
$data = [
    'secret' => $secret_key,
    'response' => $recaptcha_response
];
$options = [
    'http' => [
        'header'  => "Content-type: application/x-www-form-urlencoded\r\n",
        'method'  => 'POST',
        'content' => http_build_query($data)
    ]
];
$context = stream_context_create($options);
$result = file_get_contents($verify_url, false, $context);
$resp = json_decode($result, true);

// 若验证失败或分数过低（v3 默认阈值建议 ≥0.5），拒绝发送
if (!$resp['success'] || ($resp['score'] ?? 0) < 0.5) {
    error_log("reCAPTCHA failed: " . print_r($resp, true));
    header("Location: $error_page");
    exit;
}

⚠️ 注意事项： file_get_contents() 需确保服务器允许外网请求（Ionos 默认开启，但可检查 allow_url_fopen = On）；若禁用，请改用 cURL。 永远不要跳过服务端校验——前端 token 可被篡改，仅作传输载体。 reCAPTCHA v3 返回 score 字段（0.0–1.0），0.5 是合理起点；可根据误报率动态调整。 建议同时保留原有 isInjected() 检查，作为纵深防御补充。

最后：清理与加固

• 删除或重命名旧版无防护的 send_mail.php，避免被暴力扫描发现。
• 在 .htaccess 中限制该脚本仅接受 POST 请求：

  <Files "send_mail.php">
      Require method POST
  </Files>

• 定期检查服务器日志（如 access.log），筛选异常高频 POST 请求 IP 并封禁。

通过以上改造，你的联系表单将从“公开邮件接口”升级为受控通信通道——既保持用户体验流畅（v3 无感），又彻底切断机器人自动化投递路径。这才是 Ionos 等主机商无法代劳、但你必须自主实施的核心安全实践。