生产环境Recaptcha评分骤降问题排查与解决方案咨询

1. 主域名配置差异排查 #

• 检查主域名的DNS解析：确认是否存在CDN、反向代理的规则变更，比如缓存策略、JS脚本拦截/延迟加载，这些可能干扰Recaptcha的脚本执行或行为采集。
• 对比主域名与Vercel生产链接的HTTP响应头：重点看Content-Security-Policy、X-Frame-Options等安全头，是否过度限制了Recaptcha相关域名（google.com、gstatic.com）的资源加载。
• 核查主域名下的第三方脚本：近期新增的广告、统计类脚本可能与Recaptcha的行为检测逻辑冲突，尝试逐一禁用排查。

2. Recaptcha本身的配置验证 #

• 确认主域名的Recaptcha密钥正确性：检查控制台中密钥的授权域名列表，是否包含主域名的所有子域名（如果有），避免因域名匹配问题导致评分异常。
• 查看Recaptcha控制台的事件日志：筛选主域名相关请求，查看是否有脚本加载失败、验证请求被拦截等错误提示，直接定位问题点。
• 调整Recaptcha验证时机：避免在页面加载完成前触发验证，或在用户首次交互后延迟几秒再发起验证，确保行为数据采集完整。

3. Firebase AppCheck与Recaptcha的兼容性检查 #

• 确认AppCheck的Recaptcha提供者配置：检查是否在主域名下正确初始化AppCheck，避免重复加载Recaptcha脚本导致冲突。
• 验证AppCheck的令牌获取流程：通过浏览器开发者工具的Network面板查看两者的请求时序，确保令牌请求不会抢占Recaptcha资源或干扰其行为检测。

4. 用户端环境排查 #

• 测试不同浏览器、设备下的评分情况：确认是否是特定环境（如Chrome隐私模式、移动端）导致评分下降，排查是否是浏览器扩展、隐私设置拦截了Recaptcha的行为采集。
• 模拟用户真实操作路径：记录从页面加载到完成交互的全流程，查看是否有快速点击、页面跳转等异常操作触发Recaptcha的风险判定。

临时缓解方案 #

如果以上排查未快速解决问题，可暂时调整Recaptcha的验证阈值：在控制台将评分阈值从0.7降低到0.5，同时保留监控，避免过度拦截正常用户，待问题定位后再恢复。

内容的提问来源于stack exchange，提问作者Taio