一位企业吹哨人举报平台的创始人为满足欧盟数据隐私法要求，寻求一种无Cookie、不嗅探用户、轻量级、仅运行于自有服务器、对访客不可见且零运行成本的反垃圾机器人方案。他在Hashcash基础上实现了工作量证明机制，上线后实现100%垃圾拦截率，且未误拦任何真实用户提交。由于WordPress生态中缺乏覆盖所有表单的免费同类方案，作者将其开发为免费插件发布。该方案的核心思路是从垃圾信息的商业模式入手：垃圾发送依赖低成本海量投递，而工作量证明迫使每一次表单提交都消耗计算资源，使大规模群发变得昂贵，从而将攻击者迫向需要另行应对的高成本定向攻击。该插件自2022年上线以来已积累4000多个活跃安装，采用HTTP POST层面的模式识别而非针对特定表单构建器的专有集成，兼容几乎所有WordPress表单与插件组合，内置80多个针对主流表单构建器和主题的起始模式，用户也可自行添加。插件压缩后仅14KB，采用GPL-2.0许可证，可在wordpress.org直接预览。作者希望就工作量证明方法、表单检测、隐私影响及权衡展开讨论。
事件分析
技术层面，该方案本质是Adam Back的Hashcash思想在Web表单场景的复兴，用客户端计算成本替代图灵测试式的人机判别，规避了传统验证码可访问性差、体验受损的固有缺陷。在AI机器人日益泛滥、CAPTCHA不断被大模型和自动化工具破解的背景下，这种不识别身份、只抬高成本的思路正获得新的现实意义。产业层面，方案契合GDPR等隐私法规下的无Cookie趋势，以模式识别兼容各类表单的做法显著降低了部署门槛，14KB的体量也体现了极简工程路线的可行性。潜在局限在于：工作量证明会消耗访客设备算力，对移动端和低功耗设备不够友好；面对专为高价值目标定制的AI攻击，其防御能力有限，作者本人也承认这一点。后续值得关注的是该模式能否从表单防垃圾扩展到登录、注册等场景，以及它与Cloudflare Turnstile等无感验证方案之间的生态竞争格局。
核心观点：验证码正被AI攻破，工作量证明把反垃圾从'识别是谁'转向'抬高成本'，或成AI时代人机分离的新范式。
原文链接：Hacker News
