Google reCAPTCHA加载异常及本地部署相关技术咨询

问题背景 #

我们已部署Google reCAPTCHA，此前运行正常，但目前文件https://www.gstatic.com/recaptcha/releases/CHIHFAf1bjFPOjwwi5Xa4cWR/recaptcha__en.js返回404错误。
在预发布环境（Staging）中，我们曾下载https://www.google.com/recaptcha/api.js并本地加载，测试正常后部署至生产环境（Live）。截至昨日该功能仍正常运行，但今日起两个环境中的reCAPTCHA均无法显示，且上述文件返回404错误。

针对以下两个疑问解答：

1. 是否可以下载https://www.google.com/recaptcha/api.js并从我方基础URL加载？ #

不行。Google reCAPTCHA的服务条款明确禁止本地托管其核心脚本api.js，主要原因有两点：

• 该脚本会动态加载Google服务器上的特定版本reCAPTCHA核心逻辑文件（即你遇到404的文件），Google会定期更新并移除旧版本核心文件，本地托管的api.js仍会请求已被删除的旧版本文件，最终还是会出现404问题。
• 本地托管无法及时获取Google推送的安全补丁和功能更新，不仅可能导致验证失效，还会违反reCAPTCHA使用协议，存在被限制服务的风险。

正确做法是直接从Google官方CDN加载api.js，脚本会自动请求当前有效的核心版本文件，避免版本过期导致的404。

2. https://www.gstatic.com/recaptcha/releases/CHIHFAf1bjFPOjwwi5Xa4cWR/recaptcha__en.js中的“CHIHFAf1bjFPOjwwi5Xa4cWR”是什么？ #

这是Google reCAPTCHA核心脚本的唯一版本标识符。Google会频繁更新reCAPTCHA核心逻辑（比如修复漏洞、优化验证机制），每次更新都会生成一个新的版本ID，旧版本的核心脚本会被Google从服务器上移除，以此确保用户始终使用最新、最安全的版本。

你遇到的404问题，正是因为之前本地托管的api.js仍指向旧版本ID，而对应版本的核心脚本已被Google删除。

内容的提问来源于stack exchange，提问作者Atul