스팸댓글을 막는 방법

Question

안녕하세요,php로 개인 블로그를 만들어서 기술블로그를 운영중입니다.댓글은 웹사이트에 접속하는 그 누구나가입없이 바로 달 수 있습니다. (이름, 비밀번호만 댓글을 작성하는 그때그때 필요함)다름이 아니라 댓글창에 스팸댓글이 달리고, XSS 공격까지 시도하는걸 보니깐 뭔가 조치를 취해야겠더라구요 - 거의 100% 영어로 쏼라쏼라...외국인들이 시도하는 듯당연히 HTML태그는 이스케이핑 처리해서XSS 공격은 먹히지 않는 상태입니다.그래서 생각한게...가정1: 스팸공격(XSS 공격 등)은 서버에서 무작위 url로 post 쏴서 보낸다.가정2: 스팸공격은 매크로가 일일이 브라우저를 통해서 댓글을 적는게 아니다가정1, 가정2가 둘 다 성립한다면,클라이언트는 무조건 제가 특정 쿠키를 주고, (key&#61;validUser, value&#61;true 등)post 요청할 때 무조건 이 정보가 헤더에 실려있어야만 post가 성공한다라는 프로세스만 만들어도 훨씬 줄지 않을까 합니다.이 의견에 대해 어떻게들 생각하셔요....?너무 단순한가요?

풍월상신(가니메디안) · Accepted Answer

honeypot 에 대해서 추가로 답변 드립니다...정리해볼 기회라고 생각하고, 저도 한번 정리하고 넘어가려고 정리를 해봐요.지금은 Auth 가 고도화, 전문화 되고 있어서 실 프로젝트에서 honeypot 의 중요도가 이전 시대에 비해 많이 줄어들었지만, 그래도 글쓴님 처럼 간단하지만 접근성을 열어둬야 하는 사용처에서는 유용할 것 같습니다.Stackoverflow 의 정리된 아티클:https://stackoverflow.com/questions/36227376/better-honeypot-implementation-form-anti-spam정의:HTML 에서 honeypot 은, 휴먼 사용자에게는 보이지 않는 input 필드를 추가하여, 이 필드가 채워진 경우에는 스팸봇으로 간주하고 처리하는 방법입니다.HTML 예시:서버사이드 PHP 예시:$honeypot = FALSE; if (!empty($_REQUEST['a_password']) && (bool) $_REQUEST['a_password'] == TRUE) { $honeypot = TRUE; log_spambot($_REQUEST); # treat as spambot } else { # process as normal } // 스패머 로그 function log_spambot( $_REQUEST ) { global $now; $logStr = $now." - SPAMBOT - ".$_REQUEST['REMOTE_ADDR']." - ".$_REQUEST['HTTP_USER_AGENT']." "; $fp = fopen("~your_home/log/spammerLog.txt","a+"); if (!$fp) { fclose($fp); return; } else { fwrite($fp,$logStr); fclose($fp); } }규칙:1. CSS/JS 로, Bot 에게만 노출되는 input field 이어야 합니다. 스팸봇이 고도화 되고 있음을 감안해서 JS 로 처리하는 게 더 견고할 것 같습니다.2. auto-complete 가 off 되어야 합니다.3. tabindex 가 휴먼 사용자의 탭 오더를 방해하지 말아야 합니다.추가:스패머 IP 를 로그하고 상위 보안레벨에서 추가처리가 가능하도록 합니다.honeypot 으로 모든 스패머를 필터링할 수는 없습니다.Zod 등 밸리데이션 라이브러리에서도 honeypot field 에 대한 규칙을 추가합니다.끗~

캐티 · Answer

그냥 클라우드플레어를 적용하는 것이 어떠나요. 강력한 안티봇 중에서 챌린지 서비스를 사용할 수 있어요. 좀비pc에서 공격이 온다면 대응하기는 더 어려울 것으로 전망해요. sns로그인을 도입하고 댓글을 작성하도록 하면 좋을 것이어요. 또는 휴대전화나 실명인증을 받으면 이 아이피에서 1달 동안 댓글을 입력할 수 있도록 하여도 좋지 않겠나요.

kenu,전독시 · Answer

mp4.okdevtv.com 에는 email 로그인을 안 만들고, GitHub 로그인만 가능하게 했습니다.tempmail 서비스가 많아서 email 인증 로그인도 스패머들이 자주 이용합니다.예전에는 글 쓰는 시간이 페이지 들어간 지 9초 넘어야 글을 쓸 수 있게 했던 장치도 했기는 했었습니다.

풍월상신(가니메디안) · Answer

honeypotformInput.addEventListener( "click", () => setCookie(...) )이렇게 두개면 어느정도는 막습니다.honeypot 에 밸류가 존재하면 deny, 쿠키가 없으면 deny

frontend · Answer

전 익명 게시판은 구글 리캡챠v2 사용하고 있습니다

스팸댓글을 막는 방법

5개의 답변

Q&A 목록