表单防刷的重点是保护处理资源并减少误拦截。正常用户重复点击和攻击者批量提交，需要不同处理。
避免重复副作用
同一提交使用标识，重复请求不重复发邮件或创建任务。
设置组合限速
接口、来源与异常字段一起判断，限制高成本处理。验证码由服务端验证。
观察误拦截
共享网络和手机切换场景测试，失败保留内容供重试。不能为防垃圾直接拒绝所有匿名咨询。
垃圾判断保留可解释原因
频率、内容与行为综合处理，验证码与去重配合，服务端仍检查字段与任务状态。
抽查被拒绝的合法留言，设置安全重试，不能因为一个来源重复提交就永久屏蔽所有同网用户。
例如合法长需求被当作垃圾，查看拒绝原因后调整规则，不能只追求拦截数量。
相关阅读：网站与小程序API：鉴权、对象授权和限流。