GCloud reCaptcha API密钥网站访问限制失效问题求助

• 检查实际发送的Referer请求头
  打开浏览器开发者工具（F12）的Network面板，找到reCaptcha相关请求（通常是https://www.google.com/recaptcha/api/siteverify或前端脚本请求），查看请求头里的Referer字段值，确认是否和配置规则匹配：

  • 注意是否带端口（如www.example.com:8080），配置时需包含完整域名+端口
  • 区分HTTP和HTTPS，比如配置https://www.example.com/*但实际用HTTP请求，会导致匹配失败

• 严格遵循通配符规则
  官方仅支持以下合法通配场景：

  • 子域名通配：*.example.com/*仅匹配二级及以下子域名（如blog.example.com），无法匹配主域名example.com，需单独添加主域名规则
  • 路径通配：example.com/*匹配主域名下所有路径，禁止嵌套通配（如example.com/*/path）
  • 禁止中间通配：www.*.com这类格式无效，通配符只能放在域名开头或路径开头

• 适配浏览器的Referrer策略
  如果网站设置了Referrer-Policy: origin或类似策略，浏览器只会发送域名（如https://www.example.com）而非完整路径。此时必须在配置中添加不带路径的域名规则（如www.example.com），不能仅配置带路径的www.example.com/*

• 简化配置后逐步测试
  先使用最宽松的有效配置验证：

  example.com
  example.com/*
  *.example.com
  *.example.com/*
  

  确认生效后，再逐步添加更严格的路径或子域名限制，避免一次性配置过多规则导致排查困难

• 注意配置生效延迟
  GCloud reCaptcha的配置变更可能需要5-10分钟才能全局生效，修改后不要立即测试，等待一段时间再验证

内容的提问来源于stack exchange，提问作者EarlS