网站上线，加了个联系表单。前几天很正常，两周之后每天收到十几条乱码内容，或者一堆卖东西的英文邮件。
第一反应通常是”谁在针对我”。不是。扫描表单的程序是全自动的，它扫的是整个互联网，你的网站刚上线就会被发现，和你是谁、有多少流量没有关系。
下面把几种常见的防护手段拆开讲：分别挡住什么、代价是什么、以及为什么最常用的那个未必是最好的。
先分清两种垃圾提交
它们的应对方式不一样。
机器提交。程序自动填表、自动提交，一天几十条。内容通常是乱码、外链、或者推销邮件。这一类占绝大多数，而且技术上完全可以挡住。
人工提交。真的有人在填表推销服务（”我们可以帮你做 SEO”这类）。这一类挡不住，因为它和真实客户的行为完全一样。只能靠人工筛。
好消息是第一类占九成以上。把机器提交挡住，剩下的量就完全可以接受了。
方法一：蜜罐字段
在表单里放一个人看不见、但程序看得见的字段（用 CSS 隐藏）。真人不会填它，自动程序会把所有字段都填满。提交上来如果这个字段有内容，直接丢弃。
效果：能挡住相当大一部分低级的自动提交。
代价：几乎为零。用户完全无感，不需要多点一下，不影响无障碍访问（正确实现的话）。
局限：稍微聪明一点的程序会检查字段是否可见，绕过它。
结论：成本这么低，没有理由不做。它应该是所有表单的默认配置，而不是可选项。
方法二：时间检查
记录表单加载的时间，提交时算一下间隔。人填一个表至少要几秒；程序通常在一秒内就提交了。
效果：和蜜罐配合，能再挡掉一批。
代价：同样接近零，用户无感。
注意：阈值不要设太高。有人是复制粘贴内容进来的，可能三秒就填完了。设成”少于两秒直接拒绝”比较安全。
方法三：验证码
最广为人知的一种，但代价被严重低估。
效果：好的验证码服务确实能挡住绝大部分自动提交。
代价：这是关键。验证码会赶走真实客户。看不清扭曲文字的人、在手机上点九宫格图片点错三次的人、赶时间的人——其中一部分会直接放弃。
对一个每月收到二十条询盘的小生意来说，为了挡住每天十条垃圾而损失两条真实询盘，这笔账是亏的。
如果要用，选无感型的。现在主流的验证码服务大多数情况下不需要用户做任何操作，只在可疑时才出题。这比传统的”选出所有红绿灯”体验好得多。
方法四：不用表单
这是最有效但最少被提到的一种：去掉表单，直接放邮箱和联系方式。
没有表单就没有表单垃圾。而且对某些生意来说，这样反而转化更好——很多人不信任表单（”填了会不会没人看”），更愿意直接发邮件或者加微信。
我们自己的网站就没有表单，只放邮箱和微信二维码。原因不完全是防垃圾：填表单的人和直接发邮件的人，意向程度本来就不一样。省掉表单等于筛掉一批随手填填的，留下的沟通质量更高。
当然这不适合所有情况。需要收集结构化信息的（比如预约要选时间、报价要选服务项目）还是得用表单。
要注意：邮箱直接写在页面上会被抓取程序收集，导致邮箱本身收到垃圾邮件。但邮箱有成熟的垃圾过滤，比表单垃圾好处理得多。
推荐的组合
对绝大多数中小企业网站：
蜜罐 + 时间检查，这两个成本为零、用户无感，能挡住九成以上。
不装传统验证码，除非上面两个做完之后垃圾量仍然无法接受。
如果一定要加验证码，选无感型的，并且要观察加了之后询盘量有没有下降。
后台加个提交频率限制，比如同一个 IP 一分钟内只能提交一次。这能挡住批量灌入。
一个容易忽略的后果
垃圾提交的真正代价不是收到垃圾，而是你会开始不看表单邮件。
每天十几条垃圾，看两周之后你就开始跳过了。然后某一天一条真实询盘混在里面，被你一起跳过。这个损失是看不见的，但它比垃圾本身严重得多。
所以判断标准不是”垃圾多不多”，而是”我还会不会认真看每一条”。如果答案是否，那就到了必须处理的时候。
另外一件事：确认你的表单真的能收到邮件。不少网站的表单其实是坏的——提交后显示成功，但邮件从来没发出去，或者进了垃圾箱。这种情况下你收不到垃圾，也收不到真实询盘，而且完全没有察觉。
自己填一次测试提交，确认收到，是每个网站上线时都该做但经常被跳过的一步。我们交付前会实际提交一次并确认收信，因为”表单坏了没人知道”是这一类里损失最大的故障。