咨询reCAPTCHA V3闲置导致令牌过期的合理处理方案

首先要明确：reCAPTCHA V3的令牌有效期通常在2分钟左右，官方虽未在文档中明确写死，但这是实践中普遍验证的结论。针对你遇到的「页面加载时调用grecaptcha.execute，几分钟后点击按钮令牌已过期」的场景，这里有几个可行的处理方案，按优先级排序：

最优方案：在用户触发操作的瞬间调用grecaptcha.execute #

这其实更贴合reCAPTCHA V3的设计初衷——它是基于用户实时行为进行风险评分的。你之前选择页面加载时调用，虽符合文档选项之一，但忽略了「用户可能延迟操作」的场景。

具体实现逻辑：

• 页面加载时，仅完成reCAPTCHA的JS API初始化（携带sitekey），不立即调用execute
• 当用户点击提交按钮时，先调用grecaptcha.execute获取最新令牌，在回调函数中完成令牌与表单数据的拼接，再发送给后端验证

示例代码逻辑：

// 页面加载时初始化reCAPTCHA
grecaptcha.ready(function() {
  // 等待用户操作，暂不调用execute
});

// 按钮点击事件监听
document.getElementById('submit-btn').addEventListener('click', function(e) {
  e.preventDefault(); // 先阻止默认提交行为
  // 调用execute获取最新令牌
  grecaptcha.execute('YOUR_SITE_KEY', {action: 'submit'}).then(function(token) {
    // 将令牌添加到表单或请求参数中
    document.getElementById('recaptcha-token').value = token;
    // 提交表单或发送AJAX请求
    document.getElementById('your-form').submit();
  });
});

这种方式既能保证令牌绝对新鲜（不会过期），还能让reCAPTCHA基于用户点击按钮前的一系列行为生成更精准的风险评分，一举两得。

备选方案：定时静默刷新令牌（仅适用于特殊场景） #

如果你的业务逻辑必须提前获取令牌（比如某些预加载场景），可以设置定时任务，每隔1分30秒左右静默调用一次grecaptcha.execute，更新存储的令牌值。

注意事项：

• 刷新间隔要略短于令牌有效期（比如1分30秒，避免刚好卡在过期边缘）
• 不要过于频繁调用（比如每秒调用），否则可能触发Google的请求频率限制，导致令牌无效或API调用被拦截
• 维护一个全局变量存储最新的令牌，提交时使用这个变量的当前值

示例代码逻辑：

let currentRecaptchaToken = '';

// 初始化并设置定时刷新
grecaptcha.ready(function() {
  // 第一次获取令牌
  refreshToken();
  // 每隔1分30秒刷新一次
  setInterval(refreshToken, 90000);
});

function refreshToken() {
  grecaptcha.execute('YOUR_SITE_KEY', {action: 'submit'}).then(function(token) {
    currentRecaptchaToken = token;
  });
}

// 按钮点击时使用最新令牌
document.getElementById('submit-btn').addEventListener('click', function(e) {
  e.preventDefault();
  if (!currentRecaptchaToken) {
    // 处理令牌未初始化的情况
    alert('请稍候，验证信息正在加载');
    return;
  }
  // 使用currentRecaptchaToken提交请求
});

这个方案属于妥协方案，会增加不必要的API调用，且如果用户长时间不操作，仍存在理论上的过期可能（比如刷新后1分59秒用户点击），同时频繁调用可能影响reCAPTCHA的评分准确性。

避坑提醒 #

• 不要依赖页面加载时生成的令牌长期有效，这是V3和V2的核心差异之一（V2的令牌是用户主动触发验证生成的，用户操作时令牌必然新鲜）
• 不要尝试手动延长令牌有效期，Google的后端验证会严格检查令牌的时效性，篡改或延长无效

内容的提问来源于stack exchange，提问作者Haradzieniec