Um alerta
Não exigir validação no servidor significa fazer o controle no navegador do usuário.
Isso implica que qualquer solução será facilmente burlada com o mínimo de conhecimento de Javascript. Outro possível ataque consiste em simplesmente replicar a requisição HTTP sem usar realmente um navegador. Resumo da ópera: sem validação no servidor qualquer solução será extremamente vulnerável.
Solução que não exige validação no servidor
Para impedir apenas ataques mais ingênuos, uma solução é usar um evento na página que habilite a submissão do formulário se identificado que um usuário real está acessando a página.
O desafio é identificar o padrão de um usuário real. Eu imagino que um usuário ou vai clicar no botão ou usar a tecla TAB até chegar lá, certo? Então poderíamos ativar a submissão apenas se houver um evento mouseover
ou focus
no botão.
Além disso, para impedir um script automático de identificar o action
e os campos do formulário eu usaria uma solução com Ajax.
Veja o seguinte exemplo de dois campos com um botão:
Field 1: <input id="f1"/><br/>
Field 2: <input id="f2"/><br/>
<button type="button">Enviar</button>
E então um script que monitora os eventos mouseover
e blur
, adicionando o evento click
que fará o Ajax somente quando um dos dois primeiros eventos forem executados:
//monitora por focus e mouse over
$('button').bind('focus mouseover', function() {
$(this)
//eventos não são mais necessários
.off('mouseover focus')
//adiciona o evento que executará a requisição final
.click(function() {
console.log('implementar ajax aqui');
});
});
Enfim, acredito que seja possível ajudar isso também para um submit
convencional se for o caso.
Soluções que exigem validação no servidor
Aqui vou deixar registrada a resposta que eu havia escrito usando validação no servidor.
Existem várias soluções para não usar captcha, algumas mais profissionais outras baseadas na criatividade.
Campo oculto para "humanos"
Campo oculto para "humanos"
Alguns serviços fazem o trabalho de identificação de spamsspam. Por exemplo, no meu blog eu uso o Akismet.
Enfim, emEm minha opinião, a criatividade é quem manda nesse ponto. Quanto mais diferente e criativa sua solução, mais dificilmente os spammers irão detectá-la.
Isso só vai mudar se sua solução for largamente adotada e chamar a atenção de alguma forma, por um bom método deve permitir variar aNão esqueça que qualquer validação do cliente pode ser facilmente burlada por qualquer usuário que saiba usar a ferramenta do desenvolvedor e tenha um conhecimento intermediário de Javascript.