使用Firebase AppCheck的reCAPTCHA v3提供方时如何获取reCAPTCHA分数

功能重叠说明 #

两者的能力边界有部分重叠，核心差异如下：

• reCAPTCHA v3的核心能力是通过客户端行为给访问用户打分，用于区分正常用户/爬虫/恶意访问者，支持自定义分数阈值和差异化业务处理
• Firebase AppCheck是应用级访问控制组件，支持多种验证提供方（reCAPTCHA v3、设备证明、App Attest等），核心作用是拦截未通过合法性校验的非官方应用请求，当它选用reCAPTCHA v3作为提供方时，内部会调用reCAPTCHA的能力做校验，但不会暴露原始校验数据给上层业务。

第一个问题：能否从可调用函数上下文获取reCAPTCHA v3分数 #

结论是不能，原因如下：

• Firebase AppCheck的核心定位是校验请求是否来自你官方发布的合法应用，属于基础安全校验层。当你选择reCAPTCHA v3作为AppCheck的 attestation 提供方时，reCAPTCHA的原始校验分数仅会在Firebase/AppCheck后端内部流转，用于判断该请求是否通过AppCheck校验，不会透传到云函数的上下文对象中。
• 你从X-Firebase-AppCheck请求头中拿到的是Firebase服务签发的AppCheck专属令牌，并非reCAPTCHA v3返回的原生用户响应令牌，所以直接将其提交给reCAPTCHA校验接口必然会返回用户响应无效的错误，这是正常的设计逻辑，并非操作错误。

第二个问题：对应场景的解决方案 #

你不需要两次引入reCAPTCHA v3脚本，可根据你的业务需求选择对应方案：

方案1：无需自定义分数逻辑的场景 #

如果你的业务只需要拦截低于某一固定分数的所有请求，不需要差异化处理：
直接在Google reCAPTCHA管理后台配置默认拦截阈值，reCAPTCHA会在验证环节直接拒绝分数不达标的请求，AppCheck同步判定该请求未通过校验，不会转发到你的云函数服务，不需要你自行处理分数逻辑。

方案2：需要自定义分数逻辑的场景 #

如果不同接口需要设置不同的分数阈值，或者要基于分数做差异化处理（比如低分值用户触发二次验证、限制部分功能权限等）：
AppCheck在客户端初始化时已经自动加载了reCAPTCHA v3的客户端SDK，你可以直接复用全局挂载的grecaptcha对象，不需要重复引入reCAPTCHA脚本：

• 客户端在AppCheck初始化完成后，直接调用grecaptcha.execute(你的站点密钥, {action: '自定义动作名'})获取reCAPTCHA原生令牌，将该令牌作为自定义参数和业务请求一同提交到云函数
• 云函数侧拿到原生令牌后，调用reCAPTCHA服务端校验接口即可获取对应的用户分数，完成你的自定义业务逻辑校验
  以上方案只会加载一次reCAPTCHA脚本，不存在重复接入的冗余问题。

内容的提问来源于stack exchange，提问作者Crafton