为移动应用创建评估

本页面介绍了如何创建评估，以便您的后端验证 reCAPTCHA 发送的令牌的真实性。 当最终用户触发操作时，reCAPTCHA 会发送加密响应，即 reCAPTCHA 响应令牌（简称令牌）。

您必须创建 评估，方法是将生成的令牌提交到 评估端点 ，以便在后端评估 execute() 的结果。reCAPTCHA 会处理 提交的令牌，并报告令牌的有效性和得分。

每月前 10,000 次 reCAPTCHA 评估免费。如果您想在达到每月免费用量限额（每月 10,000 次评估）后继续创建评估，则必须为您的 Google Cloud 项目启用结算功能。如需详细了解 reCAPTCHA 的结算 ，请参阅 结算信息。

准备工作

1. 为 Google Cloud Fraud Defense 准备环境。
2. 确保您具有以下 Identity and Access Management 角色： reCAPTCHA Enterprise 代理 (roles/recaptchaenterprise.agent)。
3. 在 iOS 应用上安装基于得分的密钥或在 Android 应用上。
4. 为 Fraud Defense 设置身份验证。

   您选择的身份验证方法取决于 Fraud Defense 的设置环境。下表可帮助您选择适当的身份验证方法和受支持的接口来设置身份验证：

   环境	接口	身份验证方法
   Google Cloud	REST 客户端库	使用关联的服务账号。
   本地或其他云服务提供商	REST	使用 API 密钥 或 工作负载身份联合。 如果您想使用 API 密钥，建议您通过 应用 API 密钥限制来保护 API 密钥。
   	客户端库	使用以下资源： 对于 Python 或 Java，请使用 API 密钥或 工作负载身份联合。 如果您想使用 API 密钥，建议您通过 应用 API 密钥限制来保护 API 密钥。 对于其他语言，请使用工作负载身份联合。

检索令牌

从 execute() 调用的响应中检索令牌。

您只能访问每个用户的令牌一次。 如果您需要评估用户在移动应用上执行的后续操作，或者在创建评估之前令牌已过期，则必须再次调用 execute() 以生成新的令牌。

创建评估

设置身份验证后，请通过向 reCAPTCHA Enterprise API 发送请求或使用 reCAPTCHA 客户端库来创建评估。

为了提高检测效果，我们建议您在创建评估时传递以下附加值：

• userAgent：用户代理包含在 HTTP 请求的请求标头中。如需了解详情，请参阅 Mozilla 开发者网络文档中的了解 User-Agent 请求标头。
• userIpAddress：向后端发送请求的用户的 IP 地址可在 HTTP 请求中获取。如果您使用代理服务器，则 IP 地址可在 X-Forwarded-For 请求标头中获取。如需详细了解如何获取 IP 地址，请参阅 X-Forwarded-For。
• ja4：JA4 是一种用于对 TLS 客户端进行指纹识别的开源方法。如需详细了解如何创建 JA4 指纹，请参阅 GitHub 上的 JA4 文档。
• ja3：JA3 是一种用于对 TLS 客户端进行指纹识别的开源方法。如需详细了解如何创建 JA3 指纹，请参阅 GitHub 上的 JA3 文档。

这有助于保护您的网站和移动应用免受高级攻击模式和人为滥用的侵害。

POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/assessments

{
  "event": {
    "token": "TOKEN",
    "siteKey": "KEY_ID",
    "userAgent": "USER_AGENT",
    "userIpAddress": "USER_IP_ADDRESS",
    "ja4": "JA4",
    "ja3": "JA3",
    "expectedAction": "USER_ACTION"
  }
}