如何在多域名可部署的WooCommerce支付网关中集成reCAPTCHA？

背景 #

我由Google Pay API团队转介而来，当前任务是为商户设置reCAPTCHA以防范卡片测试攻击。不确定这是否属于recaptcha-enterprise相关问题，还是因账户曾创建测试商户而被转至该标签。

现有部署 #

• 开发了一套API及可部署解决方案，以WordPress插件形式作为WooCommerce支付网关
• 支付流程：用户通过网关内的iframe输入卡片信息，卡片在填入表单前完成tokenize（令牌化）；同时支持Google Pay替代方案，同样在表单提交前完成令牌化

当前挑战 #

标准reCAPTCHA集成要求预先将域名加入白名单才能使用API密钥，但插件会部署到大量不同商户域名，需要持续手动添加域名，效率极低。我方后端域名为*.solutionbackenddomainhere.com，可处理前端及服务器对服务器交互，但无法满足reCAPTCHA的特定域名白名单要求。不希望将API密钥设为通配符以防盗用，且找不到编程添加域名的方法。

关键前提 #

处理需reCAPTCHA的已认证API调用时，后端可获取源域名信息，且能与集成绑定校验。

解决方案建议 #

1. 采用reCAPTCHA Enterprise的程序化域名管理 #

reCAPTCHA Enterprise提供了API接口用于动态添加允许的域名，可解决手动维护白名单的问题：

• 使用projects.locations.keyDomains.create API，在商户首次激活插件时，自动将其域名提交到reCAPTCHA密钥的允许列表中
• 补充域名所有权验证：在调用API前，通过DNS TXT记录验证或HTTP文件验证，确认商户对域名的控制权，避免恶意域名被添加
• 优势：完全符合Google的安全规范，无需手动操作，且能精准控制允许的域名范围

2. 基于我方iframe的前端reCAPTCHA集成（适用于标准reCAPTCHA） #

利用我方受控的iframe域名规避商户域名白名单要求：

• 在支付网关的iframe内加载reCAPTCHA（使用我方后端域名的API密钥，该域名已预先加入白名单）
• 前端获取reCAPTCHA token后，将token与商户域名一起发送到我方后端
• 后端验证流程：
  1. 先调用reCAPTCHA验证接口校验token有效性
  2. 额外校验商户域名是否为已注册的合法商户域名（可通过插件激活时的注册记录或WooCommerce站点信息验证）
• 优势：无需修改reCAPTCHA密钥的白名单，所有reCAPTCHA交互都在我方可信域名下进行，同时通过后端校验确保请求来自合法商户

3. 自定义域名白名单数据库+后端二次校验 #

若坚持使用标准reCAPTCHA且无法使用Enterprise API：

• 在我方后端维护一个合法商户域名的数据库，商户激活插件时自动注册其域名
• 前端仍在商户域名下加载reCAPTCHA，但使用一个仅允许*的通配符密钥（需配合后端严格校验）
• 后端收到reCAPTCHA token后：
  1. 先校验请求来源域名是否在我方数据库中
  2. 再调用reCAPTCHA验证接口校验token
• 注意：通配符密钥存在被盗用风险，必须通过后端的域名校验严格限制使用范围，仅允许数据库内的合法域名请求

内容的提问来源于stack exchange，提问作者Parog