生产环境中reCAPTCHA Enterprise站点密钥是否可暴露给客户端？

• 存储在客户端（包括.env文件）是安全的，完全可以暴露：reCAPTCHA Enterprise的站点密钥本身就是公开设计的客户端标识，它的作用是让谷歌识别你的合法应用域名，验证请求是否来自合规的客户端环境。单独泄露这个密钥不会带来风险——谷歌会结合你预先配置的允许域名、reCAPTCHA的后台验证逻辑来判断请求有效性，仅拿到站点密钥无法伪造通过验证的请求。

• 站点密钥仅用于谷歌识别应用身份：它和服务端的私有密钥（比如Firebase服务账号密钥）不同，不需要严格保密。这个密钥的核心作用就是关联你的应用与reCAPTCHA Enterprise服务，客户端必须通过它向谷歌发起验证请求，所以最终必然会出现在前端代码中，即便是用.env注入，打包后也会被暴露，这是正常且安全的。

你当前的客户端初始化代码写法没问题，直接传入站点密钥即可，无需额外的保密操作。

内容的提问来源于stack exchange，提问作者George