Антиспам для FormIt с генерацией случайной строки

Спасибо за очередной способ борьбы со спамом, но честно говоря, я не понял как он работает и почему именно должен защитить от спама.
Вы генерируете случайную строку, вставляете ее в форму через jquery, а затем в валидаторе проверяете ее наличие.
А почему собственно она должна отсутствовать? Спам боты точно так же выполняют весь javascript на странице, как и обычный пользователь и этот инпут будет добавлен в форму и в случае спамбота.
Но если вы говорите что вам помогло, то вам везет и видимо пока что вас атакуют самые примитивные боты)
Я пробовал подобный подход, но не просто append при загрузки странице, а например добавление скрытого поля в форму только после того как кто то кликнул по кнопке, открывающей конкретную форму, пробовал добавлять поле при события наведения мыши на открытой модальное окно и так далее. И в любом случаем через день два спам снова возобновлялся в том же объеме.
Признаюсь, что ни один из способов «автоматического» определения — спам, не спам не дал для меня результата. Лучшего способа с пока что 100 процентным результатом удалось добиться только при таком антиспаме, где пользователю предлагается ответить на вопросы. Как в каптче от гугла — типа выберите все мосты на 8 фотографиях.

И не совсем мне ясно, в чем ообще смысл сниппета и генерирования каждый раз случайной строки. Ведь валидатор проверяет только факт наличия заполненности такого поля. На мой взгляд, если руками один раз вписать value для этого инпута ничего не измениться. Или я не прав?

Если вкратце у меня работает так (Подсмотрено у Артур Шевченко, спасибо ему)
1. тоже генерируется рандомная строка
2. тоже проверяется через contains
3. и полю nobot эта рандомная строка присвоится только(!) при наведении на форму, а у вас как я понял сразу.

У меня полет нормальный

{set $secret = md5(rand(0,999999999))}
{'!AjaxForm' | snippet :[
    ....
    'secret' => $secret ,
    'validate' => 'vscval:contains=^'~$secret~'^'
    ....
]}

//В форме
<input type="hidden" name="vscval" style="display:none" data-vscval="{$_pls['secret']}">

//Js
function watchForms(){
    if(document.querySelector('form')){
        document.querySelectorAll('form').forEach((ff) => {
            ff.addEventListener('mousemove', (e) => {
                if(ff.querySelector('input[name="vscval"]')){
                    let inpSecret = ff.querySelector('input[name="vscval"]'),
                        inpSecretData = inpSecret.getAttribute('data-vscval');
                    if(inpSecret.value == ''){
                        inpSecret.value = inpSecretData;
                    }
                }
            });
        });
    }
}
watchForms()

На многих сайтах я делал простой append (точнее prepend) в форму с фиксированной строкой, не заморачивался с генерацией случайно строки.
Спама было мало, но тоже подтверждаю на некоторых сайтах спам-боты пробивали и сыпался спам, тут как повезет. Так как способ простой, то ставил в формы по умолчанию на все сайты. Защищает от ботов, которые не умеют в JavaScript (интересно много таких сейчас?)

В FormIt есть встроенная защита от спама, в виде математического уравнения, см. docs.modx.com/current/ru/extras/formit/formit.hooks/math Но мало видел, что ее используют, хотя, думаю, что нормально работает.

Неужели способ «создать поле email и требовать, чтобы оно всегда было пустым» уже не работает?)

Изобрел CSRF токен и радуется

Можно немного усложнить задачу для спамеров на стандартном синтаксисе. Т.к. случайная строка генерируется и не меняется при обновлении страницы. Решить этот вопрос можно через плейсхолдер. Я делал форму на FetchIt, поэтому приведу код на нём:

[[!randString:toPlaceholder=`randString`]]
[[!FetchIt?
    &snippet=`FormIt`
    &submitVar=`popup`
    &form=`popup.form.tpl`
    &emailTpl=`emailForm.tpl`
    &hooks=`FormItSaveForm,email,sendTelegram`
    &emailSubject=`Заявка на обратный звонок`
    &emailTo=`[[++email_to]]`
    &emailFrom=`test@test.ru`
    &randString=`[[!+randString]]`
    &validate=`antispam:contains=^[[!+randString]]^,name:required,phone:required,popup_request_conditions:required`
    &validationErrorMessage=`Необходимо заполнить все поля формы!`
    &successMessage=`Спасибо! Ваша заявка отправлена!`
    &errTpl=`Необходимо согласиться с обработкой персональных данных`
]]

В чанке popup.form.tpl необходимо добавить в форму скрытое поле:

<input type="hidden" name="antispam" style="display:none" data-antispam="[[!+randString]]">

ну и также прикрутил js отсюда modx.pro/howto/23926#comment-139070