Народ, кто как борется со спамом в своих PHP-формах? Сам когда-то думал, что капча — панацея, но оказалось не всегда. В основном сейчас пихаю простую защиту по шагам:

- Проверяю основное — обязательные поля и валидация на сервере. Если их нет — спам гарантирован.
- Добавляю скрытое поле типа honeypot, которое видит только бот и заполняет, по нему сразу отклоняю.
- Использую таймер — если форма отправляется быстрее, чем реально можно было заполнить, подозрение.
- Реальный вариант — капча просто Google reCAPTCHA, но ругаюсь на её сложность для пользователей.
- Иногда пробую ограничить частоту отправки по IP в сессии или в базе.