客户把官网询盘表单的垃圾留言截图发过来，一天十几条英文的，销售要马上加验证码，运营怕海外客户填到一半就走，先做哪头？

可摘录结论：官网询盘表单一天收到十几条英文垃圾留言，多数情况下不必第一反应就上全量图形验证码。按 2026 年常见交付经验，更稳妥的顺序是先用零摩擦手段（隐藏蜜罐字段、最短填写时长、同 IP 提交频率限制、链接与关键词过滤）挡掉机器流量，观察一到两周，常见区间是 7-14 天，看灌水是否自然回落；只有当灌水持续、已明显占用销售处理时间时，才加人机验证，并尽量做成命中规则才触发的轻量验证，而不是每位访客都先拦一道。

先分清是机器灌水，还是客户填得潦草

官网表单里的「垃圾留言」，通常指自动化脚本批量提交的内容：外链推销、SEO 灌水、竞品骚扰、漏洞扫描。它和真客户填得潦草有本质区别——真客户的字段往往不规整但内部自洽，公司名和邮箱域名对得上，需求描述里带具体产品词；机器提交则要么工整得像模板，要么整段都是链接和乱码。

值得当回事的原因不只是脏数据。垃圾询盘会让后台数据失真，询盘总数虚高、转化率算不准；更麻烦的是它会把真询盘挤到列表后面。当邮件通知把销售邮箱打爆，真询盘反而会被当成噪音忽略。判断时可以先看这几类信号：

• 提交节奏：几十秒内连发多条，或每天固定在某个时段成批出现。
• 来源重复：同一 IP、同一浏览器指纹反复出现，间隔极短。
• 内容特征：需求描述里带网址、带 backlink 之类的词，或大段无意义字符。
• 字段矛盾：姓名与邮箱明显不匹配，邮箱多为免费域名的随机串。
• 填得太满：连本不该被填上的隐藏字段也一并被填了。

拦截拆成三层，先做摩擦低的那层

把拦截分层，是因为每一层对真客户的摩擦成本不一样，越往后越贵。先做便宜且基本不影响体验的，挡不住再往上加，这样即使判断失误，代价也可控。

1. 入口过滤：隐藏蜜罐字段、最短填写时长（常见做法是少于 3 秒提交判为可疑）、来源页校验。几乎不增加填写负担，挡的是最偷懒的脚本。
2. 提交校验：同 IP 或同浏览器指纹的提交频率限制、单条内容的链接数量上限、必填字段长度下限、敏感词库匹配。
3. 人机验证：图形验证码、滑块、短信或邮箱验证码，只对命中规则的请求触发，而不是全量出现。

每层都有坑。蜜罐字段名不要用 email、phone 这类会被浏览器自动填充的名字，否则误伤真客户；频率限制要留日志，否则被误拦的询盘找不回来；触发式验证必须留一个能随时关掉的总开关，上线当天出问题要能在十分钟内降级回原表单。

几套做法摆在一起比，差别在摩擦和长期维护

下面的投入按经验区间给，落到具体项目差异很大，主要取决于表单是自研还是用第三方表单服务。第三方多数在后台设置里勾选，自研要算开发与联调时间。

• 隐藏蜜罐字段：真人摩擦接近于零，挡得住常见低级脚本；自研表单常见 0.5-1 人天，第三方表单多在后台开关里配置。
• 最短填写时长：真人基本无感，实现成本低，但挡不住模拟点击的脚本。
• 同 IP 频率限制：对企业内网、部分海外运营商这类共享出口 IP 可能误伤，阈值需要调优，并配白名单机制。
• 关键词与链接过滤：词库要长期维护，误伤率取决于词库质量，常见做法是命中后进人工复核，而不是直接丢弃。
• 图形验证码：真人摩擦明显，移动端和网络条件差的海外访客更容易中途放弃；实现简单，但挡不住人工打码。
• 短信或邮箱验证码：拦截效果相对好，摩擦也最大，只建议用在留资价值高、且确实有人工跟进的场景。

如果一定要在两种主流做法里选：全量图形验证码适合灌水量大、单条询盘价值高、能接受一定流失的业务；命中规则才触发的轻量验证适合访客结构复杂、海外占比高、不想牺牲填写体验的官网。后者实现更麻烦，但长期维护成本通常更低。

交付现场：周期只留一周、七成访客在海外的那次取舍

有一个外贸站项目，表单每天收到二三十条英文推销留言，销售直接要求全量加验证码。当时的约束是：交付周期只留一周、访客约七成在海外、预算里不含额外的验证码服务费。

我们这边的做法是先上蜜罐字段、最短填写时长和链接过滤，跑了两周看日志，灌水降到每天两三条；再把剩下的可疑请求接到轻量滑块上，只在命中规则时出现。代价是多花了两轮观察和一次改稿，交付节奏被拉长，但没有出现真询盘下滑，销售那边也没再提全量验证码的事。

这类项目里，观察期的长度没有标准答案，常见区间是 7-14 天。少于一周往往看不出规律，因为灌水脚本常按周内时段成批出现，短期样本容易把偶发当趋势。

什么情况该加，什么情况先别加

加不加拦截、加到哪一层，本质是拿「销售处理垃圾的时间」去换「真客户的填写摩擦」，两边都要算。判断依据不是同行加没加，而是自己的灌水量级和跟进能力。

• 适合做拦截：B2B 官网、有明确询盘表单、灌水每天稳定在几条以上、有专人处理和分配询盘。
• 不必急着上验证码：一天不到一两条偶发灌水，先加频率限制和过滤通常够用；纯展示站只留邮箱和电话的，做验证码收益很小。
• 要慎用全量验证：以留资为主要目标的低门槛表单，比如资料下载、活动报名、展会登记，全量验证码常把转化压下去。
• 不适用本文做法的情况：表单挂在第三方 SaaS 上、不开放字段级配置的，只能退到平台内置的反垃圾开关；表单还在用「填完直接发邮件」、没有数据库落地的，要先补数据记录，否则拦截做得再细，也查不到被误拦了什么。

可独立摘录的边界句：当灌水已经影响到销售对询盘列表的信任时，拦截就是必须项；当灌水只是零星几条，验证码带来的摩擦通常大于它挡掉的东西。

验收：做到什么程度算交付合格

拦截功能不像页面好不好看那样一眼能判断，交付时建议按可验证的口径验收，别只看「已经加上了」。

• 用手机和桌面各提交三次真实询盘，都能成功提交并收到通知。
• 用脚本模拟连续提交，能被拦下，并且后台留下可查记录。
• 验证失败时有明确提示，已填内容不清空，可以重试。
• 被误拦的询盘能人工找回，而不是直接删掉。
• 规则有总开关，出问题能在十分钟内关掉并恢复原表单。
• 海外访客至少用两种网络环境各测一次，确认验证组件能正常加载。

常见反例也提前避开：验证码图片糊到看不清、刷新后整页重填、把可疑提交直接删除不留记录、规则写死在代码里改一次要重新发版。做到上面几条，基本可以认为这套拦截是可交付、可维护的状态。

常见问题

官网表单加了图形验证码，海外客户还能正常提交吗？

多数能提交，但部分国内验证码服务在海外加载慢甚至加载不出。常见做法是换不依赖国内节点的方案，或只对命中规则的请求触发。

隐藏的蜜罐字段会不会被浏览器自动填充误伤真客户？

会。浏览器自动填充常把隐藏字段一起填满，所以字段名要避开 email、phone 这类常见名，并配合最短填写时长综合判断。

表单用的是第三方工具，我们没有改代码权限，还能不能拦？

先翻平台自带的防垃圾开关、提交频率限制和必填项设置，多数脚本能挡掉大半；仍不奏效再考虑换表单服务或加一层自有中间页。

官网上线后才发现表单每天被灌，改起来要多久？

常见区间是半天到两三天，取决于表单是自研还是第三方服务。第三方多在后台开关里配置，自研的要改代码并重新测试，还要留出观察期。

如果手上的官网正在被灌水，先做一件事：把最近两周的提交记录按 IP 和内容特征过一遍，确认量级和规律，再决定停在哪一层拦截。零星几条先靠过滤和频率限制；已经影响销售判断的，再考虑触发式验证。这样做的好处是每一步都能回头，也不至于为了几条垃圾留言，把真客户的填写路径堵上。