谷歌的reCAPTCHA v3是如何工作的

Question

谷歌推出了 reCAPTCHA v3。它减少了用户的操作。我想使用它来保护我的网站。然而，我不确定它如何保护我的网站。如果黑客使用外部工具在我的网站上垃圾邮件URL，而不使用我提供的接口，reCAPTCHA v3又该如何防止呢？

- Chong Lip Phang

---

请注意，Google 打算 使其更低摩擦力，但并非总是如此。例如，我的浏览器已经针对跟踪和指纹识别进行了加固，因此，在通过reCAPTCHA之前，可能需要点击多达一分钟的CAPTCHA。 （如果必须这样做，我愿意接受这种权衡。Google已经知道足够多关于我的信息了。） - ssokolow

Answer 1

reCAPTCHA v3如何防止[垃圾邮件]？

可以使用各种启发式算法来检测自动化系统，例如来自特定IP的请求数量、浏览器指纹、Google账户cookie等。谷歌似乎使用其中一些算法。如果不确定，则会显示一个挑战。

如果黑客使用外部工具而不使用我提供的接口在我的网站上垃圾邮件网址怎么办？

当客户端通过您提供的检查时，谷歌会为其生成令牌，您必须在服务器端验证该令牌。如果有人没有通过验证码（即机器人），则他们没有令牌。

- Jonas Wilms

---

从理论上讲，它很美好。但实际上，reCAPTCHA v3是有害的，这是您可以为试图使用您的网站的用户提供的最糟糕的用户体验。 - barbolo

@barbolo v3 不显眼，那么是什么导致它成为最糟糕的用户体验？ - christopher.theagen

很有趣，Google（Youtube）不使用V3，而是使用v2（用于检索用户电子邮件）。即使用户从未与表单交互，V3也会在页面加载时加载。可以设置V2以按需加载，从而减少初始页面加载。V3不像这样工作。因此，在用户体验方面，每次页面加载都加载V3可能会导致V2可能没有的不必要的延迟。 - Jarom

@OfficeAddinDev 脚本在页面加载时会被加载，但令牌在两分钟后过期，应该在执行而不是页面加载时调用。请参阅文档：https://developers.google.com/recaptcha/docs/v3。V3脚本始终在前端加载（正如我所提到的，这会导致页面加载时间问题），但可以按需加载和调用V2。 - Jarom

v2和v3都是间谍软件，就像大多数Google产品一样。 - DylanYoung

Answer 2

除了 Jonas Wilms 所解释的对于您的网站上的用户行为跟踪，v3（和v2）还根据您的IP、ASN、浏览器以及通过您的HTTP请求发送的任何有关系统信息做出决策。

唯一的区别是V2是一个完整的解决方案，即如果它认为用户可能是机器人，它会提出额外的挑战，直到它确信该用户是人类。另一方面，V3是非侵入性的。它基于上述参数生成一个分数，并将其传递给您。然后，根据这个分数，您可以采取适当的措施（如发布挑战或使用双重身份验证等）。

在我看来，最好从V2解决方案开始，并在需要更多控制或有更好的方法来挑战低得分用户时再实现V3。

（这里是有关差异的有趣文章链接：Here）

- nitarshs

---

谷歌是否有权威来源说明他们使用IP和ASN来评估风险？ - alexw

@alexw，你找到答案了吗？ - Iman

Answer 3

简单来说，谷歌会追踪你的整个光标和键盘移动，从移动鼠标到选择表单字段再到按Tab键切换字段。

要验证reCAPTCHA是否工作正常-->提交一个表单，然后点击刷新；它会要求重新提交。点击继续。但是，由于这种方式非常类似于机器人活动，即在没有任何光标或键盘移动的情况下提交表单，reCAPTCHA将阻止表单提交或任何其他操作。

- Guryash Singh