做了个论坛，被玩坏了，不知道怎么办了，给跪。

[yhf]

用户输入不知道什么文字，然后就这样了，有大神能指点一下吗？



还有，Django有什么办法限制频繁访问的ip？我用的是SAE，在自带的防火墙里设置了5分钟限制访问30次，可是没用啊，总有些ip在一直用脚本不停地刷新。

还有，我把那个ip禁了以后，他又换一个ip，有什么办法应对吗？真是给跪了。

[rankjie]

神奇的unicode…

[gracece]

这个字符串当时在微博火了一把

[lazycat]

@gracece 求详细。。。

[Akiyori]

似乎是泰国语字符?

[cielpy]

@lazycat http://www.zhihu.com/question/19617804

[yhf]

@Akiyori 哎。。。

[yhf]

@cielpy 额。。没讲怎么限制啊。。

[palytoxin]

正则匹配过滤掉

[cielpy]

@yhf 额，我也不知道这个，刚才搜了一下才搜到这个的。

[ChanneW]

没良心的说一句,挺好玩.

[ChanneW]

去找找有没有 IP 限制的 中间件

[VeryCB]

试一下 .̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨

[yhf]

@palytoxin 好吧。。。只有这样了。。。

[babytomas]

限制 User-agent

[crll]

之前也见过，不过没怎么关注。

[yhf]

@babytomas 不太懂，user-agent不是浏览器才有的吗？别人用脚本爬虫，这样也能防范吗？

[kevinv]

获取ip信息和访问时间存到内存中，每隔几分钟清理一次。通过访问频率判断是否是正常请求。
如果是机器请求可以用重定向来解决这个问题，因为机器请求是无法重定向页面的。

[babytomas]

@yhf 正常访问都会带 UA 的，我不会 python，不过你如果可以生成日志的话、参照日志看看那个 IP 是否有 UA，没有的话你可以限制 ip 段、或者说根据访问特征（例如说referer）

实在不行你可以反过来思考，例如说只允许有什么 UA 的人访问，然后组建自己的 UA 白名单啥的 。。

[yhf]

@kevinv 好的 谢谢 我试试

[yhf]

@babytomas thx

[yangqi]

限制没什么用吧, 关键是这个问题无法解决? 不能把那些unicode字符给过滤掉?

[elvba]

噗~脑补喵星人眼睛发光。

[jings]

这种是用泰国文字发的 利用泰国语法漏洞写出来的字 可以随意叠加 要阻挡的话只能换字体了 在win7下 我们一般是可以看到文字满屏幕飞 在手机上或linux下看不出来 这种字体还有一种坏处 页面会卡号死。但目前很多大网站都没有去屏蔽它。一是技术问题，更多的是对这种表示乐观。你的小伙伴都玩得这么欢乐为何你要发愁呢，乐其乐才是我们的初衷。

[WildCat]

对啊对啊，陪他一起玩！

[dong3580]

原来是泰国文字，以前遇到一次，结果把数据库恢复了一下也就没管了

[loginv2]

ค้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้

[cameo]

可以做个div把每个人发的文字内容限制在框框里吧，这样乱写也只影响TA自己发的。

[yjsslab]

第一次发现有这么变态的东东。。。
.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨

[dant]

试试
overflow:hidden

[awsx]

学校的树洞？

[wuwuyun]

ค้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้

[yakiang]

UA 也是可以伪造的啊
ip 他也可以换，虽然不多
我觉得加验证码就好了

[mlhorizon]

这个好长啊：ค้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้้

[yhf]

@cameo 前端水平比较菜 请问怎样把字限制在div里呢？

[yhf]

@awsx 差不多吧 学校的秘密

[notcome]

干脆除了几个 tone 之外的 combing 全部拦截算了。

[jaylong]

o͡͡͡͡͡͡͡͡͡͡͡͡͡͡╮( ꒪⌓꒪)╭o͡͡͡͡͡͡͡͡͡͡͡͡͡͡
突破下限的颜文字

[blaboy]

字符白名单。。

[xiawinter]

这个问题怎么谈的上 ip 呢， 难道不注册吗？ 不注册就可以发帖？

1. 注册的时候加验证码

2. 发帖的时候也加上验证码

3. 每次发帖的时候按照用户名统计发帖次数， 多长时间内禁止重发。 做的体验好一点，对发长贴的进行限制。 如果一旦发现一个， 丢到黑名单，永世不见天日；

4. 其次删掉重复字符， 这样看起来就不美了. 即使只是 strip 掉 空格，应当就很难看了

5. 最后过滤掉全部这种 unicode 字符就好了， 这个字符我也不认识 ...

我估计不用到3 就没人和你玩了， 不用去搞 ip 这么复杂， 又不是 DDOS

[stonestyle]

.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨被玩坏的小伙伴

[imcczy]

这不是西电网页版的秘密么，，学长你好。。

[xiaoai]

贴吧曾经也有过。这是泰文。接受代码为unicode的原因。

[yhf]

@imcczy 额。。。你也是西电的么

[winiex]

用 one time password 可以解决用脚本刷屏的问题：

http://en.wikipedia.org/wiki/One-time_password

这里的重点在于，你需要将前端的 js 脚本混淆一下防止让 spammer 找到 magic number。

Python 上有现成的库：

https://github.com/nathforge/pyotp

希望能对你有用 :)。

[yhf]

thx a lot!

[pyshift]

频繁发帖无非爬虫，检查UA只是一个方法，UA可以伪造，意义不大。检查同IP或者同账号在一段时间发帖太多就限制，需要输入验证码。搜搜防止爬虫的一些方法，自己模拟几个，大学网站自己人肯定不会去破坏，外人也没这个时间去破坏，所以稍微限制下就好了。恶意的破坏可以拉黑名单，虽然暴力了一点

[lcxseima]

@rankjie 么么哒打开就看到你哦

[nuaazdh]

.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨.̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̸̨̨̨̨̨̨̨̨̨̨̨̨.̸̸̨̨