是否可开发Discord应用及机器人，完成验证后自动为用户分配指定角色？

该验证流程完全可以实现，是当前Discord服务器普遍使用的防垃圾机器人入群方案，全程可以自主搭建，无需依赖第三方付费验证服务。

前置准备 #

• 前往Discord开发者门户创建应用，同时为应用开通机器人权限，记录三个核心参数：应用客户端ID（Client ID）、客户端密钥（Client Secret）、机器人令牌（Bot Token）。给机器人开启Manage Roles权限，且在服务器的角色设置里，把该机器人的角色排序调整到你要发放的Verified角色之上，否则机器人无法完成角色授予操作。
• 选择验证码方案，可使用reCAPTCHA或者hCaptcha，申请对应的站点密钥和服务端验证密钥。
• 准备托管服务，支持静态页面部署和后端接口运行即可，个人使用可选Vercel、Netlify Functions或者自行准备VPS。

前端验证页开发 #

• 首先开发验证码验证页，接入你选择的验证码组件，用户完成验证码操作后，先将验证凭证发送到你的后端接口做有效性校验，校验通过后给用户浏览器下发临时有效的会话标识，避免后续被绕过验证直接访问授权链路。
• 验证码校验通过后，跳转至Discord OAuth2授权页面，授权链接的scope参数需要包含identify，redirect URI填写你后续回调接口的地址，同时带上state参数做CSRF防护。

后端逻辑开发 #

• 开发OAuth2回调接口：用户完成Discord授权后，Discord会将授权码code回调到你填写的地址，你可以拿着code、Client ID、Client Secret调用Discord开放接口换取用户的access token，再用access token获取用户的Discord ID。
• 验证该用户确实已加入你的目标服务器后，调用机器人的开放接口，对应用户ID授予Verified角色，最后返回验证成功的提示页，引导用户返回Discord服务器即可。

• 所有敏感参数（客户端密钥、机器人令牌、验证码服务端密钥）必须只保存在后端，绝对不能暴露在前端代码中，避免被恶意盗用。
• 验证码校验必须走后端逻辑，不能仅在前端做验证就直接放行，否则很容易被黑产绕过验证。
• 回调接口的地址必须和你在Discord开发者门户中填写的授权回调地址完全一致，否则会触发授权报错。

内容的提问来源于stack exchange，提问作者cabooto