Home > Internet > Movabletype > NoHarvesterプラグイン・導入

NoHarvesterプラグイン・導入

Posted by: oscar
2006-10-01 (日) 21:33
MovableType
Movable Type, Plugins, spam
delicious count
hatebu user
NoHarvesterプラグイン・導入

最近Throttle値をいじってみたところ、いきなりアクセス数が５倍に増えた上に、Perlのプロセスが何重にも起動して、サーバーが固まりまくってしまいました。中途半端なエラーが返ると、スパマーはさらに連続してスパム送るんでしょうね。

少しでも、スパム対策になればと、Patrickさんのプラグイン「NoHarvester plugin」を導入してみました。

プラグインインストール自体は、プラグインフォルダへ丸ごとコピーで終了です。なお、MT3.2以下の場合にはBigPAPIを使って動作するようになっています。
また、このプラグインの動作にはPHPが必須です。

インストールしただけでは、このプラグインは有効になりません。
システムメニュー内のプラグイン（ブログ設定のプラグインではありません）で設定を行う事で、プラグイン機能が有効になります。
ただし、以前も少し触れたとおり準備が完了しない状態で、プラグインを有効にしないで下さい。最悪すべてのコメント投稿が出来なくなります。

No Harvesterプラグインの設定を開くと、プラグイン設定でテンプレートに追加するコードが表示されます。これらのコードの中身は、Formとして送信されるため、Form内に追加するようにください。

コード２個所のうち上側が、コメント関連のシステムテンプレート（コメントの一覧/コメント・プレビュー/コメント・保留/コメント・エラーのテンプレート）へ追加するコードです。
ただしテンプレートを改造している場合（テンプレート上にコメントFormが存在しない場合エラー時に修正送信させない・プレビューは表示のみとするため、送信フォームを削除しているような場合）には、コードを追加する必要はありません。

下側のコードがエントリーアーカイブのテンプレートに追加するコードになります。
これもForm内に追加するのですが、すでに hiddenになっているinputが２行あるので、そこに追加するのが良さそうです。この部分にPHPのコードが含まれています。なお、このPHPコードはショート・タグと呼ばれる記法で書かれています。PHPの設定によってはショート・タグが使えない場合もありますので、注意が必要です。

PHPの設定ファイル(php.ini)を変更するか、またはコードをショート・タグを使わないよう書き直す事で、このケースは回避できます。
他にも .htaccess を使って、部分的にPHPの設定を変更する解決する方法もあるみたいです。

<?=$_SERVER['REMOTE_ADDR']?> は <?php echo $_SERVER['REMOTE_ADDR'] ?> と同じです。
<?=md5($_SERVER['REMOTE_ADDR'].'<$MTEntryID$><$MTNoHarvester_Salt encode_php="q"$>')?> は <?php echo md5($_SERVER['REMOTE_ADDR'].'<$MTEntryID$><$MTNoHarvester_Salt encode_php="q"$>') ?> になります。

早速、Patrickさんが、ショートタグを使わないバージョン(1.01)をリリースされてます。ショートタグが使えない環境の方は、そちらを使用してください。(ショートタグが使用可能な場合は、無理にバージョンアップする必要はありません）

NoHarvester 1.1では、<MTCommentFields>という、フォーム書き出し用タグが追加されています。追記方法が1.03までと若干異なりますので、注意してください。

私自身になじみが無かったので、気付かなかったのですが、<MTCommentFields>はMT標準のタグでコメントフォーム全体を出力するものでした。NoHarvester 1.1はこのタグの機能を置き換え、NoHarvester用のフォーム項目を追加して出力します。

テンプレートにコードを追加し、すべてのエントリーアーカイブを再構築した後で、「Enable blocking:」にチェックを入れて保存します。これで、プラグインの機能が有効になります。

他に２つ、設定項目があるようです。「Log:」は動作ログを記録するかどうかだと思います。
もう一つ「Secret code:」というのがあるのですが、これがどういう場面で使われるのかはまだ理解できていません。

このプラグインは、コメント送信者のアドレスから作成した、隠されたフォームの値を使い、きちんとコメント投稿画面より投稿されたものかを判断するものでは無いかと思います。

このプラグインをすり抜けて、迷惑コメントに分類されたスパムがまだないため、「Whois」と「Report」はまだ見かけません。早く見てみたい気がしているのですが。

このサイトでは今まで、トラックバックスパムは完璧にブロック出来ていたのですが、コメントに関しては一日に数件ずつすり抜けてくるのがいました。まだ使い始めて、それほど経っていないので何とも言えないですが、今のところスパム・ゼロ件なので効果が上がっているのかもしれません。
もうしばらく様子をみて、状況を追記したいと思います。

説明がおかしいところありましたら、Patrickさんや他の皆さん、つっこみお願いします。

プラグイン内のテンプレートを見て気づきました。「Report」をクリックすると、サーバー管理者に対してドメイン内にスパム投稿者がいる事を通知するメールが送られるようです。