部署Google ReCAPTCHA v2验证后仍遭垃圾邮件，求分析原因

你的ReCAPTCHA v2验证逻辑存在几个关键漏洞，导致垃圾邮件可以绕过验证，以下是具体问题和修复方案：

1. 未验证请求来源IP，存在重放攻击风险 #

你当前的验证请求只传递了密钥和captcha响应，没有把提交表单的用户真实IP传给Google。垃圾发送者可能复用一个从真实用户那里获取的有效captcha响应，用不同IP重复提交表单，这种情况Google不会拦截。

修复：在验证URL中添加remoteip参数，带上用户真实IP：

$url = sprintf(
    'https://www.google.com/recaptcha/api/siteverify?secret=%s&response=%s&remoteip=%s',
    urlencode('你的真实Secret Key'),
    urlencode($captcha),
    urlencode($_SERVER['REMOTE_ADDR'])
);

2. file_get_contents不可靠，请求失败时会跳过验证 #

如果服务器allow_url_open配置关闭，或Google接口临时无法访问，file_get_contents会返回false，json_decode后得到null。此时$response->success !== true会触发PHP错误，若服务器开启了错误抑制，代码会直接跳过验证逻辑，导致表单提交成功。

修复：改用CURL发起请求，稳定性更强且能处理错误：

$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_TIMEOUT, 10); // 设置超时时间，避免挂起
$responseJson = curl_exec($ch);
curl_close($ch);

if (!$responseJson) {
    // 请求失败，直接拒绝提交
    throw new InvalidArgumentException('Recaptcha验证失败');
}

$response = json_decode($responseJson);
if (!$response || $response->success !== true) {
    throw new InvalidArgumentException('Recaptcha验证失败');
}

3. 额外检查：确认密钥配置正确 #

确保你使用的是Secret Key（来自Google ReCAPTCHA控制台的"密钥对"，不是用于前端的Site Key）。如果密钥填错，所有验证都会返回success: false，但如果错误处理存在漏洞，也可能导致绕过。

4. 可选：加强前端验证 #

在表单提交事件中，额外判断grecaptcha.getResponse()是否为空，确保用户完成captcha验证后再允许提交，从前端层面减少无效请求。

内容的提问来源于stack exchange，提问作者mwbaufx