Neviditelná ochrana proti spamu v Orchard Core: Architektura modulu PV.ReCaptchaV3

Architektura pod kapotou: Validace a Integrace

Abych při tvorbě modulů na míru zajistil maximální výkon, využívám pro komunikaci s Google API striktně asynchronní IHttpClientFactory s implementací resilience. Tady je ukázka jádra verifikační služby, která vyhodnocuje klientský token vůči definovanému Score Threshold:

public class ReCaptchaVerificationService : IReCaptchaVerificationService
{
    private readonly IHttpClientFactory _httpClientFactory;
    private readonly ISiteService _siteService;
    private readonly ILogger<ReCaptchaVerificationService> _logger;

    public ReCaptchaVerificationService(IHttpClientFactory httpClientFactory, ISiteService siteService, ILogger<ReCaptchaVerificationService> logger)
    {
        _httpClientFactory = httpClientFactory;
        _siteService = siteService;
        _logger = logger;
    }

    public async Task<bool> ValidateTokenAsync(string token, string remoteIp)
    {
        var settings = (await _siteService.GetSiteSettingsAsync()).As<ReCaptchaSettings>();
        var client = _httpClientFactory.CreateClient("ReCaptchaClient");
        
        var response = await client.PostAsync("https://www.google.com/recaptcha/api/siteverify", 
            new FormUrlEncodedContent(new Dictionary<string, string>
            {
                { "secret", settings.SecretKey },
                { "response", token },
                { "remoteip", remoteIp }
            }));

        if (!response.IsSuccessStatusCode) 
        {
            _logger.LogWarning("ReCaptcha API komunikace selhala s kódem: {StatusCode}", response.StatusCode);
            return false;
        }
        
        var json = await response.Content.ReadFromJsonAsync<ReCaptchaResponse>();
        
        // Vyhodnocení asynchronní odpovědi včetně minimálního prahu důvěryhodnosti
        return json != null && json.Success && json.Score >= settings.ScoreThreshold;
    }
}

Nativní implementace do Orchard Workflows

Kromě automatické globální ochrany poskytuje modul integraci do nativních Workflows v Orchard Core. Vytvořil jsme vlastní TaskActivity, což umožňuje vizuální programování reakcí – např. pokud je detekován bot při registraci uživatele, Workflow odkloní proces a zapíše bezpečnostní alert.

[Category("Security")]
public class ValidateReCaptchaTask : TaskActivity<ValidateReCaptchaTask>
{
    private readonly IHttpContextAccessor _httpContextAccessor;
    private readonly IReCaptchaVerificationService _verificationService;

    public ValidateReCaptchaTask(IHttpContextAccessor httpContextAccessor, IReCaptchaVerificationService verificationService)
    {
        _httpContextAccessor = httpContextAccessor;
        _verificationService = verificationService;
    }

    public override string Name => "ValidateReCaptcha";
    public override LocalizedString DisplayText => T["Validate ReCaptcha V3 Token"];

    public override IEnumerable<Outcome> GetPossibleOutcomes(WorkflowExecutionContext workflowContext, ActivityContext activityContext)
    {
        return Outcomes(T["Valid"], T["Invalid"]);
    }

    public override async Task<ActivityExecutionResult> ExecuteAsync(WorkflowExecutionContext workflowContext, ActivityContext activityContext)
    {
        var request = _httpContextAccessor.HttpContext?.Request;
        var token = request?.Form["g-recaptcha-response"].ToString();
        var ip = _httpContextAccessor.HttpContext?.Connection.RemoteIpAddress?.ToString();

        if (string.IsNullOrEmpty(token)) return Outcomes("Invalid");

        var isValid = await _verificationService.ValidateTokenAsync(token, ip);
        return Outcomes(isValid ? "Valid" : "Invalid");
    }
}

Klíčové funkcionality modulu

Poznámka z praxe: Při návrhu administrátorského rozhraní pro správu klíčů a prahů skóre využívám robustnosti platformy. Stejně jako prémiové komponenty Syncfusion (např. DataGridy) šetří stovky hodin při vývoji UI na frontendu, vizuální konfigurace modulu v administraci Orchardu radikálně snižuje čas potřebný k nasazení bezpečnostních politik – žádné hardcodování, plná kontrola konfigurace tenantů.

Proč tento modul používat?