用途
该技能用于在代码审查或前端检查中，评估面向公众的 HTML 表单（无需身份验证即可访问）是否具备针对机器人和滥用行为的防护机制。它关注的是公开表单被自动化攻击利用的风险，例如未受保护的注册表单可能每分钟产生数千个垃圾账号，未受保护的登录表单则可能被用于凭据填充攻击，利用数据泄露中的用户名与密码组合进行大规模测试。
主要能力
- 识别所有公开表单，包括联系、注册、登录、密码重置、订阅通讯和评论表单。
- 检查每个表单是否具备 CAPTCHA、蜜罐字段或服务端限流。
- 验证 CAPTCHA 令牌是否在服务端完成校验。
- 提供修复建议：集成 CAPTCHA 服务并在服务端验证响应令牌，同时添加限流作为纵深防御。
- 解释凭据填充和垃圾机器人攻击的概念、CAPTCHA 的保护原理、不同 CAPTCHA 方案之间的取舍，以及为何必须进行服务端校验。
- 在代码审查中检查服务器配置、响应头、表单及相关集成点，标记违反规则的响应、Cookie 或浏览器行为，并与生产环境响应进行比对。
使用方式
该技能以检查清单和规则形式组织，包含快速参考、检查步骤、修复步骤、解释说明和代码审查指引。使用时先识别公开表单，再逐项核对防护措施，最后根据修复建议进行集成。完整实现细节、代码示例和框架特定指导参见 references/rule.md。规则页面为 https://frontendchecklist.io/en/rules/security/form-captcha。
适用场景
适用于前端安全检查、代码审查、表单安全评估，以及需要为公开表单添加机器人防护的开发流程。特别适合涉及注册、登录、密码重置、评论等高风险公开表单的项目。
限制
资料未提供具体框架的集成代码示例、各 CAPTCHA 服务的配置细节、价格或平台支持信息。部分实现细节需参考 references/rule.md 和规则页面。