如何在React的Firebase电话认证中禁用或降低reCAPTCHA验证强度

关于完全禁用的说明 #

Firebase电话认证的reCAPTCHA校验是Google内置的强制反滥用防护机制，核心目的是拦截恶意批量发送短信验证码的请求，官方没有提供完全禁用的入口，所有手机号认证流程默认都会经过reCAPTCHA v3的风险评估，只有被判定为高风险的请求才会弹出交互校验框。

降低移动端触发频率的可行方案 #

• 替换默认隐式reCAPTCHA为自定义不可见实例
  不要使用Firebase默认自动挂载的reCAPTCHA，手动初始化RecaptchaVerifier实例，指定不可见模式，设置固定的隐藏容器，避免动态创建元素导致的风险判定升高，参考代码如下：

  import { getAuth, RecaptchaVerifier } from "firebase/auth";
  
  const auth = getAuth();
  // 提前在DOM中放置id为recaptcha-container的空div，设置display:none隐藏
  window.recaptchaVerifier = new RecaptchaVerifier('recaptcha-container', {
    'size': 'invisible',
    'callback': (response) => {
      // 校验完成后执行发送验证码逻辑
    }
  }, auth);
  

• 优化运行环境的风险评分
  reCAPTCHA v3的风险判定和设备环境、用户行为强相关，以下操作可提高评分，降低弹窗概率：
  • 确保站点域名已在Google reCAPTCHA管理后台完成绑定，移动端访问域名和绑定域名完全一致，不要用IP、临时测试域名访问
  • 不要在无痕模式、模拟器、远程调试环境下测试，这类环境默认会被判定为高风险
  • 发送验证码的逻辑必须由用户真实点击触发，不要使用自动触发、定时器触发等非用户交互的调用方式
• 开启移动端App设备校验（仅针对原生App，H5页面可忽略）
  如果是原生App接入，可开启Firebase的SafetyNet（安卓）或APNs设备校验（iOS），通过设备校验的请求会直接跳过reCAPTCHA交互环节。

注意事项 #

不要尝试通过修改reCAPTCHA加载逻辑、篡改请求参数的方式绕过校验，会被Firebase判定为滥用，严重时会直接限制短信认证功能的使用。

内容的提问来源于stack exchange，提问作者Fortdev