如何通过Insomnia/Postman将reCAPTCHA响应令牌作为请求头传递？

当然可以把reCAPTCHA响应令牌作为请求头参数传递给API，不管是Insomnia还是Postman都完全支持这种操作：

• 打开你的请求配置面板，切换到Headers标签页
• 添加一个自定义请求头（比如命名为X-Recaptcha-Response，这个键名要和后端API约定好）
• 在值的位置填入用户完成reCAPTCHA交互后生成的令牌即可

至于你问的「有没有插件能根据公钥自动生成令牌」，这里得先说明一下reCAPTCHA的核心机制：它的令牌是绑定用户真实交互（点击验证框、完成图片选择等）和当前页面环境的，Google设计它的目的就是防止自动化脚本绕过验证，所以不存在官方合规的插件或工具能直接生成有效的令牌。不过有几个变通方案可以参考：

手动获取令牌（最稳妥合规） #

1. 打开你的前端页面（或者包含reCAPTCHA小部件的测试页面）
2. 完成reCAPTCHA验证流程
3. 打开浏览器开发者工具（F12），在控制台里输入grecaptcha.getResponse()（如果是reCAPTCHA v3的话，需要查看初始化时回调函数里的令牌值）
4. 复制拿到的令牌，粘贴到Postman/Insomnia的请求头里即可

注意：令牌有有效期（一般2分钟左右），而且每次刷新页面或重新加载小部件都会生成新的令牌，所以每次测试前可能需要重新获取

后端临时跳过验证（适合本地测试） #

如果你现在是为了测试API而注释掉reCAPTCHA验证代码，其实更推荐在后端加一个测试开关：

• 比如在后端判断请求头里是否带有X-Test-Skip-Recaptcha: true的标识
• 如果有这个标识，就跳过reCAPTCHA的验证逻辑
• 这样你在测试时只需要在REST客户端里添加这个请求头，不用修改核心代码，也避免了找令牌的麻烦

第三方工具的风险提示 #

网上可能会有一些声称能生成reCAPTCHA令牌的服务或脚本，但这类工具大多是模拟用户交互或者利用漏洞，完全违反Google的reCAPTCHA服务条款，不仅可能导致你的reCAPTCHA密钥被封禁，还可能带来安全风险，非常不建议使用。

内容的提问来源于stack exchange，提问作者Tarasovych