всё это - защита от самого себя.
мне даже не интересно обсуждать приемы, которые не стоят выеденного яйца потому, что как только спамер захочет заспамить ваш сайт, он в ближайшие 5 минут всё это разузнает, а через 10 минут будет готов скрипт (конечно бот может выполнять JavaScript!), который сведет все ваши хитрости на нет.
интересно найти реальное лекарство от всех болезней, предлагаю всем хорошенько подумать и провести продуктивную мозговую атаку..)
А с отловом количества нажатых клавиш. вот это уже ближе к делу. однако для скрипта не составить никакого труда сэмулировать нажатие клавиш юзером, только если.. если он сможет выполнять скрипты. а скрипты он может выполнять везеде, где это разрешает политика безопасности. (попробуйте ввести в адресной строке браузера javascript:setInterval(function(){alert('ещё спам!')},1000);void(0);
отсюда решение - разместить поле в iframe, расположенном на другом хосте, где исполнение скриптов запрещено. только лучше это сделать не полем, а просто объектом, на который юзера просят навести мышку, а потом отправлять её координаты серверному скрипту, который сохранит true в БД, чтобы потом проверяющий скрипт читал бы уже из базы данных - навел ли юзер мышь или нет.
вот в эту сторону надо копать. хотя всегда остается вероятность, что злоумышленник обойдет политику безопасности браузера (или напишет свой браузер :))