将privatekey发送到reCAPTCHA API

Question

我正在实施reCAPTCHA AJAX API所描述的here。文档说必须将私钥发布到验证URL。

有人可以解释为什么发布私钥是可以接受的吗？这似乎是一个安全问题？事实上，如何将私钥放在客户端脚本中是否可以接受？

Answer 1

POST应该来自您的服务器，而不是客户端。

• 客户发送带有质询的帖子＆amp;试图回答你的服务器。
• 您的服务器使用remoteip，challenge，try answer和私钥对reCAPTCHA进行HTTP调用。
• 如果来自reCAPTCHA的响应为真，则继续例如将数据提交到数据库。
• 如果来自reCAPTCHA的响应为false，则显示错误消息，可选择显示新的质询。