[有趣的问题] 关于前端请求，后端服务如何做到只响应当前站点的请求。类似于如何防爬虫...。

[loveyou1]

今天一个小伙伴问我：如何才能让请求能不能不饶过当前站点，比如：node 模拟当前站点的请求，是不被站点服务允许的。

我想了想：但是似乎并不行。

• 代码上撒毒，生成一些自定义请求头，生存的过程代码，通过压缩混合。后端验证。 [也存在破解的可能]

• 通过特殊请求头，host ，origin ，referer [可以写入，不管用]

大佬们对这个问题有配方吗？剧毒那种 ^__^。

[loveyou1]

@aino 无趣

[loveyou1]

@Kinnice 这业务，银行内部系统都没到这个程度吧😄

[Kinnice]

@loveyou1 想一下 ATM 机
指定的输入手段
不知道 url
无法调试
无法抓包（或者是抓包与真实业务无关）
无法反编译

[loveyou1]

@yaphets666 我一直对于人机验证存在质疑，人机验证的过程需要调接口或者前端创建，人机验证的结果是去调接口，我为啥不能直接绕过这一步。
比如：
数字验证码，如果是前端生成的，那一点意义没有，我直接就可以绕过，如果后端返回的，我从接口里面也可以拿到，然后绕过去。
滑块验证码，人机验证码，不是类似吗
我觉得有用的是，后台直接返回一个图片，前端可能难一点的需要通图像识别去做，或者短信是最靠谱的，但是有成本。

[yaphets666]

@loveyou1 验证码当然不是前端生成的,是后端返的,而且验证码确实是图片.
上面大佬们说的很清楚的,什么方法都有破解的办法,只是增加成本.
比如说你说的图像识别,我可以给图片加干扰项,并且的各种各样的干扰每隔一段时间就换一种,你就得一直修改程序.
但是我作为官方,比如说淘宝,我可承受的成本是比你大的多的.所以你爬不了淘宝的东西.

[lakehylia]

@2i2Re2PLMaDnghL 验证码搞个高数题或者微积分题，你总不能雇几百个数学很好的大学生吧

[0o0o0o0]

@loveyou1
验证码就是人机验证的一种啊。。。
前端生成或者后端返回基本没人这么做吧。。。
都是要把结果返回到后端进行验证。

[loveyou1]

@0o0o0o0 对啊，这个返回结果这个过程是透明的呀，

[nekoneko]

@dxxzst #29 跨域这玩意儿只是浏览器帮你检查,写服务,脚本直接调你 api 跨域一点用都没有

[agui2200]

fingerprintjs 可以识别一丢丢

[pkoukk]

如果是小网站，想一个别人都没用过的奇葩手段，增加反爬成本就行了。
上面猫眼那个 css 加密想法就不错，
之前站里有个老哥弄过图片加密，好像是把 js 文件伪装成图片放到 cdn 上，收到图片之后再重新解析回 js 加载。
搞点这种类似的东西，只要你没有特别大的价值，就没人闲的没事爬你了