Golang验证码防机器人技巧解析

在 Go 中实现验证码防机器人远不止生成一张图片那么简单，核心在于确保验证逻辑不可绕过、服务端校验绝对可信：选用 dchest/captcha 或 mojocn/base64Captcha 时需警惕内存存储的并发安全、ID 自动清除机制差异及缺失的自动过期风险；集成 reCAPTCHA v3 更须严格校验响应中的 hostname、action 和动态 score 阈值，杜绝因漏检域名或硬编码 secret key 导致整个防护形同虚设——任何一处配置疏忽或代码惯性（如手动比对、写死阈值、环境变量泄露）都可能让攻击者轻松绕过防线。

Go 里加验证码防机器人，不是加个图片就完事——关键在「验证逻辑是否可绕过」和「服务端校验是否可信」。用错库、配错参数、漏掉 hostname 校验，都可能让验证码形同虚设。

选 dchest/captcha 还是 mojocn/base64Captcha？

内存型库够用，但得看部署场景：

• dchest/captcha 默认纯内存存储，无外部依赖，VerifyString 调用后自动清除 ID，适合单实例部署；但不支持自定义字符集（只能数字+大小写字母），且无法直接返回 base64 图片，前端需额外请求 /captcha/{id} 路径
• mojocn/base64Captcha 生成即返 base64 字符串，省去一次 HTTP 请求，NewDriverDigit 可控位数、噪声、宽高；但它默认的 DefaultMemStore 是全局变量，多 goroutine 并发时若没加锁，可能因 map 写冲突 panic（实测 v2.3.0 有此问题）
• 两者都不带过期清理机制——ID 存在内存里直到被验证或程序重启。线上长期运行必须配 SetExpiration（前者）或换 RedisStore（后者）

VerifyString 和 store.Verify 的一次性陷阱

两个库都默认「验证成功即删除」，但行为细节不同：

• dchest/captcha.VerifyString(id, value)：内部调用 Get 后立刻 Delete，哪怕你传入错误 value，只要 ID 存在，也会被删掉——导致用户刷新页面后拿不到原 ID 对应的图
• base64Captcha.store.Verify(id, value, true)：第三个参数为 true 才删除；设 false 会保留，但下次再验同一 ID 就会失败（因为答案已失效）
• 别在验证前手动 Get 再比对——这会跳过库内置的清除逻辑，造成 ID 泄露+重放风险

Google reCAPTCHA v3 的 hostname 校验为什么必须做？

v3 token 不绑定域名，攻击者拿到你前端 JS 的 site key 后，可在任意域名下执行 grecaptcha.execute() 拿到 token，然后发给你后端校验——如果你不检查响应里的 hostname 字段，等于白加：

• 校验响应中必须同时满足：res.Success == true（v3 实际是 res.Score >= 0.5）、res.Action == "login"（你前端指定的 action）、res.Hostname == "yourdomain.com"
• 注意：res.Hostname 是 Google 从请求头 Origin 或 Referer 提取的，不是你传过去的参数；如果前端跨域请求未带 Origin，该字段为空，直接拒绝
• 别信 req.Header.Get("Origin")——它可被伪造；唯一可信来源只有 Google 返回的 hostname

secret_key 硬编码的后果比你想象的严重

Go 编译后的二进制文件里，6L... 开头的 secret key 能被 strings captcha 直接搜出来：

• 本地开发用 godotenv.Load() 加载 .env，但必须确保 .gitignore 包含它；CI/CD 流水线里禁止 echo $SECRET > .env
• K8s 中必须用 Secret 挂载为环境变量，代码统一走 os.Getenv("RECAPTCHA_SECRET_KEY")，启动时 panic if empty
• 千万别在 struct tag 里写默认值：type Config struct { Secret string `env:"RECAPTCHA_SECRET_KEY" default:"6L..."` } —— default 值会被编译进二进制

最易被忽略的是：reCAPTCHA v3 的 score 阈值不能写死在 if 判断里。0.5 在测试环境够用，上线后可能要调到 0.7 甚至 0.8——得从配置中心或环境变量读，而不是改代码重发。

今天带大家了解了的相关知识，希望对你有所帮助；关于Golang的技术知识我们会一点点深入介绍，欢迎大家关注golang学习网公众号，一起学习编程~