Em um aplicativo de livro de visitas que escrevi, implementei dois recursos que evitam a maior parte do spam:

• 
  Não permitir POST como a primeira solicitação em uma sessão
  
• 
  Exigir um HTTP Refer(r)er válido ao postar