Нужена ли капча?

Ajax посылает дополнительную переменую $check = "asfddsafdfassfa13f2f23fr2134d2341d23421d4"; (посмотреть эту переменую в исходном коде не получиться, насколько я знаю).

И в php файле который проводит проверку, условие, если $chek == ...

Но как я уже понял, эту защиту обойти легче простого? и можно посмотреть, какик данные посылает ajax запрос, в том числе и $check?

Покажите ваш сайт и станет ясно как реализована (и пробивается ли) защита.

Да.

Но можно немного усложнить жизнь, если воспользоваться односторнними функциями. MD5 тот же.

При выдаче форме добавляете какое-нибудь hidden поле кодом:

echo '<input type="hidden" name="check" value="' . md5($check . $_SERVER['REMOTE_ADDR'] . '" / >' 

И при приемке POST-данных формы проверять этот check. Это позволит защититься от того, чтобы злоумышленик не смог просто так взять (С) и раскидать скрипт рассылающий POST запросы с разных IP с одним и тем же check'ом, который он один раз, проанализировав форму регистрации, выдернул из страницы.

Но, да - теперь он поправит свой скрипт, будет сначала делать GET запрос, считывать поле check, посылать его в нагрузку на данным из формы.

Можно добавить еще в md5 время "стухания" и сделать, так сказать, временные формы регистрации ...

Но по-моему проще заставить пользователя вводить очень простую капчу :)

Капча = зло.

Есть более изящные решения данной проблемы, куча постов есть и тут и на хабре.

Более 2х часов искал. Нашел много инфрмации, но действительно, изящного нечего( кинете пару линков? На действительно хорошие способы, которым можно доверять)

2 часа - это конечно много...

Через JS от основных ботов все спокойно можно защитить.

Даю наводку: фейковые поля (input)

TC, такая защита /ru/forum/comment/11583051 ? Vitaly2012 все-равно жаловался, что проходят боты, хотя и меньше.

Спам бот будет понимать ровно то, что в него вложит его создатель. Allsubmiter, Xrumer понимают JS. Бота можно сделать взяв за основу браузерный движок Chromium, тогда он вообще технически ничем не будет отличаться от человека.

Касательно каптчи, это предоставляет пользователю неудобство. Я против неудобства. Думать нужно за пользователя, а СПАМ можно отловить другими методами (пост-модерация, антифлуд, стоп-слова, эвристичный анализ, анализ по IP, стране, хосте, юзер-агенту).