Пару раз пробовал разные варианты защиты форм на PHP и хочу поделиться наблюдениями. Самая базовая штука — обычный скрытый инпут с ловушкой (honeypot). Для ботов часто работает: если поле заполнено — значит робот, отбрасываем. Но иногда умные боты уже игнорируют такие поля, так что не панацея.

Пробовал капчу, но это раздражает юзеров, особенно если она сложная или медленно грузится. Google reCAPTCHA — вариант, но надо следить за обновлениями и его иногда можно обойти.

Ещё срабатывает проверка частоты отправки и времени на заполнение формы, например, если форма отправлена за пару секунд сразу после открытия страницы — подозрительно. Но тут есть подвох, можно и обычного пользователя “подгонять” случайно.

Недавно наткнулся на сервисы с "чёрным списком IP" и проверкой реферера, браузерных заголовков и куков — помогает фильтровать часть мусорных запросов, но требует настройки и мониторинга.