评论区人机验证hCaptcha接入CMS

评论区被垃圾评论刷屏时，把 hCaptcha 接入 CMS 是最直接的防刷手段之一。它的核心动作只有两步：前台加载 hCaptcha 验证组件，后台拿用户提交的 token 去 hCaptcha 官方接口校验；校验通过才写入评论。下面按注册密钥、配置、验证、排错的顺序讲清楚，零基础也能照着做。 ## 先确认你的 CMS 属于哪种接入方式 不同 CMS 的评论区实现不一样，接入前先判断类型，否则容易改错文件。 - 原生评论系统：评论表单在主题模板里，通常是 `comments.php` 或类似文件，需要手动加验证脚本和校验逻辑。 - 插件式评论：后台已装评论插件，优先看插件设置里是否自带 hCaptcha 或通用验证码选项，有就直接填密钥，不要改代码。 - 前后端分离或自研评论接口：评论走独立 API，验证逻辑要加在后端接口里，前台只负责拿到 token 传过去。 判断方法很简单：打开评论提交页面，查看源码，如果能直接搜到评论表单的 `action` 地址，说明是传统表单提交；如果评论是点按钮后异步出现，多半走接口。 **结论：能用插件配置就优先用插件，改代码只作为没有现成选项时的方案。** ## 注册 hCaptcha 并拿到两个密钥 1. 打开 hCaptcha 官网，注册账号并登录后台。 2. 在站点管理里新增一个站点，填写你的域名。注意：免费版通常按域名授权，本地测试和正式域名要分别添加，否则验证会失败。 3. 添加后会得到两个值：`Site Key`（公开，放前台页面）和 `Secret Key`（私密，只放后端，绝不能写进前端 JS）。 4. 把这两个值先记到本地，后面配置要用。 如果后台提示需要验证域名所有权，按页面给出的方式操作即可；具体要求和免费额度建议以 hCaptcha 官方后台实际显示为准。 ## 在前台评论表单加载验证组件 找到评论表单所在模板，在 `

` 标签内部、提交按钮之前加入 hCaptcha 容器，并在页面底部引入脚本。 ```html

``` 两个关键点： - `data-sitekey` 必须换成你自己的 `Site Key`，不要照抄示例值。 - 脚本用 `async defer` 加载，避免拖慢页面；如果主题本身已加载过该脚本，不要重复引入。 保存后刷新评论页，表单里应该能看到验证组件。如果看不到，先检查模板是否被缓存、脚本地址是否被浏览器拦截。 ## 后端校验 token 才算真正接入 只放前台组件等于没验证。用户提交评论时会带一个 `h-captcha-response` 字段，后端要拿它去校验。 ```php // 伪代码示例，按你的 CMS 实际评论处理逻辑调整 $token = $_POST['h-captcha-response'] ?? ''; $secret = '你的SecretKey'; $resp = file_get_contents( 'https://hcaptcha.com/siteverify', false, stream_context_create([ 'http' => [ 'method' => 'POST', 'header' => 'Content-Type: application/x-www-form-urlencoded', 'content' => http_build_query([ 'secret' => $secret, 'response' => $token, ]), ], ]) ); $result = json_decode($resp, true); if (empty($result['success'])) { exit('人机验证未通过，请重试'); } ``` 校验通过再继续走原来的评论写入流程；校验失败就直接返回错误，不要写库。 **结论：前台组件只负责采集 token，真正的拦截发生在后端校验这一步，两者缺一不可。** ## 避坑要点 - **Secret Key 泄露**：它只能出现在服务端代码里，写进前端 JS 等于公开密钥，容易被绕过。 - **域名不匹配**：hCaptcha 按域名校验，`www` 和裸域名、测试域名和正式域名要分别添加。 - **重复加载脚本**：主题和插件都引入 `api.js` 时可能出现组件异常，保留一处即可。 - **只加前台不校验**：这是最常见的无效接入，页面有验证框但垃圾评论照进，务必确认后端校验逻辑生效。 - **改了模板没清缓存**：CMS 或 CDN 缓存会导致改动不生效，改完先清缓存再测试。 - **网络无法访问 hCaptcha**：服务器如果访问不了 hCaptcha 校验接口，后端会一直返回失败，需要确认服务器出网正常。 ## 验证接入是否真的生效 改完后做一次完整测试： 1. 正常勾选验证并提交评论，应该能成功发布。 2. 不勾选直接提交，应该被拦截并提示验证未通过。 3. 用脚本或工具模拟不带 token 的提交，后端应返回失败，且数据库里不新增评论记录。 4. 查看 hCaptcha 后台的统计面板，能看到请求量说明前台组件已正常上报。 第 3 步是判断防刷是否真正有效的关键：如果无 token 的请求仍能写入评论，说明后端校验没生效，需要回头检查评论处理逻辑的位置。 ## 常见疑问 **接入后评论提交变慢正常吗？** 验证需要请求 hCaptcha 接口，会有少量延迟。如果明显卡顿，先检查服务器到 hCaptcha 的网络是否稳定。 **能同时保留原有验证码吗？** 可以，但两层验证会降低体验，通常二选一即可，建议用 hCaptcha 替代旧验证码。 **更换域名后要重新配置吗？** 需要。域名变了要在 hCaptcha 后台新增站点并更新 `Site Key` 和 `Secret Key`，否则验证会失败。 把 hCaptcha 接入 CMS 评论区，重点不在改多少代码，而在前后端两步都做到位。先判断 CMS 类型，能走插件就走插件；必须改代码时，前台放组件、后端验 token，再用无 token 提交测试确认拦截生效。这样垃圾评论才会真正减少，而不是只多了一个摆设验证框。