Как с помощью сессий можно проверить — заполняет форму человек или скрипт?

Question

[sorry_i_noob]

Здравствуйте. Читаю вот эту статью phpfaq.ru/sessions и в ней говорится:

Во-первых, помните, что сессии можно применять только тогда, когда они нужны самому пользователю, а не для того, чтобы чинить ему препятствия. Ведь он в любой момент может избавиться от идентификатора!
Скажем, при проверке на то, что заполняет форму человек, а не скрипт, пользователь сам заинтересован в том, чтобы сессия работала - иначе он не сможет отправить форму!

Как помощью сессий можно проверить, что заполняет форму человек, а не скрипт? Почему пользователь не сможет отправить форму?

Comments

[Антон]

что за хрень я сейчас прочитал?

[Павел Лебедев]

Сайт не очень, не читай его

[Дмитрий]

Как помощью сессий можно проверить, что заполняет форму человек, а не скрипт?

Никак.

[Александр]

Тут скорее всего имеется в виду CSRF токены, они генерируются в пределах сессии пользователя и сверяются при отправке формы.

Но если бота писали с умом, то ни чего не мешает забрать токен с сайта и послать форму с ним.

Answer 1

[Никита Колесников]

Никак
В качестве защиты от бота используйте капчу, можно проверить бота по ip или email (смотрите про спам-базы)

Answer 2

[FanatPHP]

Если говорить про процитированный абзац, то имеется в виду, что в сессию нельзя писать количество неудачных попыток входа, например. То есть, использовать как постоянное хранилище.

Если отвечать на вопрос, то сессия не поможет. Любой желающий заполнить форму скриптом просто придет на тостере и местная города радостно напишет ему код.

Как правильно написали - частично спасает только капча