怎么通过隐藏表单字段识别自动化采集程序？

结论：隐藏表单字段（业内叫蜜罐字段／honeypot field）是识别自动化采集性价比最高的一招——给真人看不见、脚本却会照单填写的字段埋一个"陷阱"，服务端只要发现它有值，就能近乎零成本地把这条请求判定为机器人。它不能 100% 拦住所有爬虫，但能稳定抓住"解析 HTML 后按 name 逐个填表"这一类占比最大的采集程序。

隐藏表单字段为什么能识别自动化采集？

核心原理是"可见性差异"：真人只填看得见的字段，而多数采集脚本是把表单里所有 <input> 遍历一遍再赋值。

具体实现三步：

1. 埋字段。在表单里加一个真人不需要的输入框，名字不要叫 honeypot 或 trap（太明显会被针对性跳过），要伪装成正常业务字段，例如 company_website、user_name_confirm、fax_number。
2. 藏起来。用 CSS 让它不可见，推荐 position:absolute; left:-9999px; top:-9999px;（比 display:none 更隐蔽），同时加上 tabindex="-1"、autocomplete="off"、aria-hidden="true"，避免键盘 Tab 和屏幕阅读器碰到它。
3. 校验。服务端收到请求后判断：该字段非空 → 判定为机器人。一条 if 语句即可，不需要任何第三方服务。

注意：<input type="hidden"> 反而没用。成熟的采集程序知道 hidden 字段是页面正常数据，会照样回传；而且真人表单里也常有 hidden 字段（如 CSRF token），无法区分。

哪些采集方式会中招，哪些不会？

结论：蜜罐字段对"HTTP 请求 + HTML 解析"型爬虫命中率最高，对真实浏览器自动化工具（Playwright／Selenium）基本无效，必须叠加其他手段。

• 会中招：requests + BeautifulSoup／lxml 这类脚本，若按 soup.find_all('input') 遍历并构造 data 字典，会把隐藏字段一起提交；同理，那些"照着浏览器抓包结果硬编码表单字段"的低质量采集器，也会原样带上。
• 不会中招：Playwright、Selenium、Puppeteer 默认只操作"可见元素"，对 left:-9999px 的输入框调用 fill() 会直接抛错或超时（需要显式加 force=True 才能填）。也就是说，遇到真实浏览器内核的采集，蜜罐字段会静默失效——这不是 bug，是它的能力边界。

怎么降低误杀真人用户的概率？

结论：新上线的蜜罐字段必须先"只记录、不拦截"跑满 7 天，观察误判率，再切成拦截。

最大的误杀来源是浏览器自动填充和密码管理器。Chrome、Safari、1Password 会按字段语义猜名字填值，所以：

• 字段名避开 email、phone、address、name、url 等高识别度词根，company_website 这类仍可能被 autofill 命中。
• 用组合判据代替单一判据：隐藏字段有值 且 表单从渲染到提交的间隔 < 2 秒（在页面里用 JS 记录 performance.now() 起始时间戳写入另一个字段），两条同时成立才判定为机器人，误杀率会降到可忽略。
• 加一个"只有执行 JS 才会写入"的字段（如页面加载后 JS 赋值的 ts 时间戳），无 JS 引擎的采集程序会留空，二者结合可以互相校正。

抓到之后怎么处置？

结论：不要一律返回 403，分级处置比一刀切更有效。

• 轻度：静默打标记放行，把 IP、User-Agent、时间写入日志，用于后续风控画像。
• 中度：提交成功但返回假数据（shadow ban），让采集方拿到的价格、库存全是占位符，破坏其数据可用性。
• 重度：返回 200 + 一个假的成功页，配合 3-5 秒的响应延迟，消耗对方并发资源。

另外可以扩展成蜜罐链接：在页面里放一个 display:none 的 <a href="/trap/xxx">，真人和搜索引擎爬虫都不会点，而广度优先遍历链接的采集器几乎必踩，命中即封 IP，这是蜜罐字段的姊妹技巧。

总结

隐藏表单字段的价值在于"成本极低、误杀可控、能抓住最大一类低质量采集"。落地要点是三条：字段名要伪装得像正常业务字段、用 left:-9999px 而非 display:none 隐藏、服务端用"隐藏字段有值 + 提交间隔过短"的组合判据而非单条件。同时要清楚它的边界——对 Playwright／Selenium 这类真浏览器自动化无效，需要和 JS 令牌、时间戳、蜜罐链接、行为风控叠加使用，才能构成完整的识别体系。