# Um alerta

Não exigir validação no servidor significa fazer o controle no navegador do usuário.

Isso implica que qualquer solução será facilmente burlada com o mínimo de conhecimento de Javascript. Outro possível ataque consiste em simplesmente replicar a requisição HTTP sem usar realmente um navegador. Resumo da ópera: sem validação no servidor qualquer solução será extremamente vulnerável.

# Solução que não exige validação no servidor

Para impedir apenas ataques mais ingênuos, uma solução é usar um evento na página que habilite a submissão do formulário se identificado que um usuário real está acessando a página. 

O desafio é identificar o padrão de um usuário real. Eu imagino que um usuário ou vai clicar no botão ou usar a tecla <kbd>TAB</kbd> até chegar lá, certo? Então poderíamos ativar a submissão apenas se houver um evento `mouseover` ou `focus` no botão.

Além disso, para impedir um script automático de identificar o `action` e os campos do formulário eu usaria uma solução com Ajax.

Veja o seguinte exemplo de dois campos com um botão:

<!-- language: lang-html -->

    Field 1: <input id="f1"/><br/>
    Field 2: <input id="f2"/><br/>
    <button type="button">Enviar</button>

E então um script que monitora os eventos `mouseover` e `blur`, adicionando o evento `click` que fará o Ajax somente quando um dos dois primeiros eventos forem executados:

<!-- language: lang-js -->

    //monitora por focus e mouse over
    $('button').bind('focus mouseover', function() {

        $(this)
            //eventos não são mais necessários
            .off('mouseover focus') 
            //adiciona o evento que executará a requisição final
            .click(function() {
               console.log('implementar ajax aqui');
            });

    });

### [Demo no JSFiddle][1]

Enfim, acredito que seja possível ajudar isso também para um `submit` convencional se for o caso.

# Soluções que exigem validação no servidor

Aqui vou deixar registrada a resposta que eu havia escrito usando validação no servidor.

Existem várias soluções para não usar captcha, algumas mais profissionais outras baseadas na criatividade.

## Campo oculto para "humanos"

Uma [resposta do SO][2] deu a ideia de criar um campo oculto no formulário. Um programinha "robô" que envia mensagens automaticamente irá tentar preencher esse campo com alguma informação aleatória. Então seu código saberá que se o campo oculto está preenchido alguém andou mexendo no que não devia.

Exemplo:

<!-- language: lang-html -->

    <!-- este campo não deverá ser preenchido, mas provavelmente os bots tentarão fazê-lo -->
    <input type="text" id="nao_humano" name="nome" />

    <!-- este campo é o que realmente o usuário deve preencher -->
    <input type="text" name="nome_real" />

    <!-- o estilo inibe o campo que o usuário não deve preencher -->
    <style>
       #nao_humano { display: none }
    </style>

# Serviço com "inteligência" artificial

Alguns serviços fazem o trabalho de identificação de *spam*. Por exemplo, no [meu blog][3] eu uso o [Akismet][4]. 

O Akismet funciona mais ou menos assim:

1. O usuário submete um comentário no formulário
2. Um código no meu site recebe a mensagem e a envia para o serviço do Akismet
3. O serviço do Akismet verifica o comentário contra uma base de informações sobre Spams
4. O Akismet retorna dizendo se a mensagem é um spam em potencial ou não

Obviamente, há uma certa preocupação sobre a segurança desse processo. Num blog público não há dificuldades, mas para uma empresa que recebe informações de clientes o tráfego da informação para um servidor de terceiros pode ser um impeditivo.

# Detectando comportamento humano

Outra ideia que vi há algum tempo por aí é detectar eventos no site para validar se alguém está realmente digitando a mensagem.

Fazer isso é relativamente simples. Primeiro, gere um código aleatório e coloque na sessão do usuário. Imprima esse mesmo código em um bloco Javascript dentro da página:

<!-- language: lang-js -->

    var codigo = 'CODIGO_GERADO';

Depois acrescente um campo oculto e inicialmente vazio no formulário:

<!-- language: lang-html -->

    <input type="hidden" name="validacao"/>

Agora crie um código em algum evento como *mouse over* ou *key up* na página que preencha o campo `validacao` com o valor `codigo`.

Finalmente, o servidor deverá validar de o campo `validacao` veio com o código. Para driblar alguns *spammers* mais espertos, o nome desse campo também pode ser aleatório.

# Conclusão

Em minha opinião, a criatividade é quem manda nesse ponto. Quanto mais diferente e criativa sua solução, mais dificilmente os *spammers* irão detectá-la. 

Não esqueça que qualquer validação do cliente pode ser facilmente burlada por qualquer usuário que saiba usar a ferramenta do desenvolvedor e tenha um conhecimento intermediário de Javascript.


  [1]: http://jsfiddle.net/utluiz/aRgQ2/
  [2]: http://stackoverflow.com/questions/3743928/stop-spam-without-captcha
  [3]: http://luizricardo.org
  [4]: http://akismet.com/