做个人网站的朋友应该都有过这样的经历：文章刚发出去没几天，评论区就冒出一堆莫名其妙的留言。有的是卖假药的广告，有的带着一堆外链推广博彩站点，还有的干脆全是乱码。这些垃圾评论不仅让网站显得很不专业，还会拖慢后台打开速度，甚至可能被搜索引擎判定为垃圾内容，影响整站权重。今天这篇实战文章，就从一个草根站长的角度，把评论防垃圾这件事从头到尾讲清楚，包括验证码方案、过滤规则、服务端限制和审核机制，最后给出一套可以直接落地的小站方案。

评论垃圾从哪里来

要防垃圾，先得知道对手是谁。评论垃圾主要来自三类：第一类是自动爬虫，黑客或黑产用现成的工具（比如各类开源评论轰炸脚本）批量扫描网站，发现评论表单就自动提交，一条评论往往附带十几个外链；第二类是打码平台配合的人工发帖，绕过简单的图形验证码后人工提交广告内容，这类最难防；第三类是撞库和社工，攻击者利用泄露的账号密码登录后台，再把整站评论区刷成广告位。明白了来源，思路就清晰了：验证码挡自动爬虫，内容过滤挡广告文本，频率限制和审核机制兜底。

第一道防线：验证码方案

验证码是成本最低、效果最明显的一层。个人站长的流量不大，没必要上复杂的商业验证码服务，几种常见方案按推荐程度排个序。

最简单的是算术验证码，比如"3 加 5 等于几"。这类验证码实现起来就十几行代码，对真人几乎没有门槛，但对通用爬虫脚本来说需要额外解析逻辑，能挡住大部分低水平攻击。Typecho 等博客系统都有现成的算术验证码插件，WordPress 也有类似的轻量插件，装上配置好即可。

再进一步是滑块验证或点击验证，比如"拖动滑块到最右侧""点击图中所有红绿灯"。这类方案体验稍好，但需要接入第三方服务或者自己维护图片素材，中小站长维护成本偏高。个人建议优先用算术或图形验证码，够用且省心。

需要注意一个误区：验证码不是越难越好。太复杂的验证码会明显降低真实访客的评论意愿，很多人嫌麻烦直接关掉页面，损失的是真实的互动数据。对个人博客来说，简单验证码挡住 90% 的机器评论，剩下的交给过滤和审核，这个平衡点最划算。

第二道防线：内容过滤规则

验证码挡不住人工发帖，内容过滤就派上用场了。核心思路是：评论内容里出现可疑特征，直接拦截或转人工审核。常用规则有这么几条。

第一，链接数量限制。垃圾评论几乎必带外链，可以把"评论中允许的最大链接数"设为 0 或 1。正常访客评论极少带链接，这个规则误伤率极低，却是最有效的过滤手段之一。第二，关键词黑名单。维护一份垃圾词表，覆盖博彩、代开发票、假证、海外推广等常见类别，命中即拦截。词表要定期扩充，观察后台被拦截的垃圾评论，把新出现的词加进去，几个月后拦截率会明显上升。第三，URL 黑名单与域名白名单。评论中出现的域名一旦命中黑名单直接拦截；反过来，如果网站允许带链接，可以只放行少数信任域名的评论。

如果用的 WordPress，强烈建议装 Akismet 这类云端反垃圾服务，它基于海量垃圾样本训练，识别精度很高，免费版对个人站点完全够用。Typecho 也有类似的评论过滤插件，逻辑大同小异：先跑规则库，再跑关键词，拿不准的进待审列表。

第三道防线：服务端频率限制

垃圾评论脚本的特征是短时间内高频提交。服务端限制每个 IP 的评论频率，就能把脚本打废。Nginx 自带 limit_req 模块，配置非常简单：

limit_req_zone $binary_remote_addr zone=comment:10m rate=2r/m;

location ~ \.php$ {
    limit_req zone=comment burst=5 nodelay;
}

这段配置的意思是：每个 IP 每分钟最多提交 2 次请求，允许瞬间 5 个突发请求。对个人博客来说，一个正常访客写完一条评论再写第二条，间隔肯定超过 30 秒，2 次每分钟完全够用，而脚本的批量提交会被直接返回 503。要注意 limit_req_zone 要放在 http 块，location 里的规则按需开启，别把全站请求都限制得这么死，否则会影响搜索引擎爬虫抓取。

除了 Nginx 限流，还可以用 fail2ban 监控评论接口的日志，发现同一 IP 短时间内多次提交失败就自动封禁一段时间。之前写过 SSH 防暴力破解用 fail2ban，评论防垃圾是同一个套路，把过滤日志喂给 fail2ban 即可。

审核机制：先审后发更稳妥

机器防线全开之后，仍会有漏网之鱼，尤其是人工发的广告。这时候审核机制就是最后的闸门。个人站长建议采用"先审后发"：所有含链接的评论、命中可疑关键词的评论、新用户的评论，一律进入待审核列表，站长在后台确认后才对外显示。等某个用户积累了几条正常评论，再把他加入白名单，以后评论直接通过。

有的站长嫌审核麻烦，用"先发后审"。对个人博客来说，我个人的经验是：除非你的评论量极大、且自信过滤规则足够强，否则还是先审后发更安心。垃圾评论哪怕只展示几分钟，被搜索引擎的爬虫抓到，都会给站点留下不良记录。每天花两分钟在后台点一圈审核，比事后清理要轻松得多。

一套完整的中小站点防垃圾方案

把上面的内容串起来，个人站长可以按这个清单一步步落地：第一步，开启评论验证码，首选算术验证码；第二步，设置评论规则，链接数限制为 0，维护关键词黑名单；第三步，接入 Nginx 评论接口限流，配合 fail2ban 监控异常 IP；第四步，开启先审后发，新用户评论进待审列表；第五步，定期查看被拦截记录，扩充黑名单词表。这套组合拳打下来，绝大多数垃圾评论在第一层就被挡住，剩余的也进不了前台，网站评论区的干净程度会有质的提升。

常见问题

问：开了验证码之后，正常访客也抱怨麻烦怎么办？答：优先用算术验证码这类低门槛方案，同时把"评论是否需要验证码"设置为仅对首次评论生效，老访客直接放行，体验和防护兼顾。

问：Nginx 限流把正常的评论也拦了怎么办？答：把 rate 放宽一些，比如 5r/m，或者把 burst 调大；如果网站有评论分页加载，注意别把分页接口也套进同一限流规则。

问：垃圾评论已经进了数据库，怎么批量清理？答：在后台先按关键词筛选评论，批量移至回收站，再清空回收站；数据库直接 delete 前一定先备份，评论区表删错了很难恢复。

问：装了过滤插件后评论正常但发送很慢，正常吗？答：检查插件是否调用了外部 API，比如 Akismet 每次提交都要请求云端，网络差时会有 1 秒左右的延迟，属正常现象；若超过 3 秒，检查服务器到 API 服务器的连通性。

总结

评论防垃圾没有一劳永逸的方案，本质是"验证码挡机器、规则挡广告、限流挡脚本、审核兜底"的多层防御。个人站长不必追求 100% 拦截，只要把垃圾评论挡在用户视线之外，同时不伤害真实访客的评论体验，就是成功。希望这篇实战文章能帮你把评论区管起来，让网站回归内容本身。