关于Google reCAPTCHA两类验证API端点的困惑及选择疑问

核心差异：对应两个不同的产品线 #

这两个端点分别服务于Google reCAPTCHA的普通版和企业版（reCAPTCHA Enterprise），定位和功能完全不同：

1. 普通版验证端点 https://www.google.com/recaptcha/api/siteverify #

• 面向免费的普通版reCAPTCHA（v2复选框、v2隐形、v3）
• 无需关联GCP项目，仅需使用注册时获取的站点密钥和密钥完成验证
• 功能基础：仅返回令牌是否合法、v3的基础风险评分，无额外高级分析能力

2. 企业版验证端点 https://recaptchaenterprise.googleapis.com/v1/projects/<project-name>/assessments?key=API_KEY #

• 属于GCP托管的reCAPTCHA Enterprise服务，是付费的企业级解决方案
• 必须关联GCP项目，验证时需指定项目ID，支持GCP API密钥或服务账号认证（服务账号更安全）
• 功能更丰富：除基础令牌验证外，还提供自定义风险规则、详细的审计日志、集成GCP安全生态、批量验证、针对业务场景的个性化评分调整等

为什么会有两个端点？ #

Google为不同规模、需求的开发者拆分了产品线：

• 普通版满足中小项目的基础反垃圾需求，免费且无GCP依赖，快速集成
• 企业版面向有高级安全需求的企业客户，提供更精细化的风控能力，同时深度整合GCP的其他服务

GCP配置后该选哪个？ #

• 如果你的项目在GCP中创建了reCAPTCHA Enterprise密钥（而非普通版密钥），必须使用企业版端点——普通端点无法验证企业版生成的令牌
• 如果只是通过GCP控制台管理普通版reCAPTCHA（部分地区支持此操作），仍可继续使用普通端点；但若要启用企业版的高级功能，需切换到企业版端点并迁移至企业版密钥
• 注意：企业版端点支持兼容模式验证普通版令牌，但普通端点不支持企业版令牌

内容的提问来源于stack exchange，提问作者Kerem Dokumacı