此页面由 Cloud Translation API 翻译。

将 reCAPTCHA for WAF 与 Cloudflare 集成

本文档介绍了如何将 reCAPTCHA for WAF 与 Cloudflare 集成。

如需完成集成，您必须实现 reCAPTCHA for WAF 的一项或多项功能，创建 reCAPTCHA 防火墙政策，并通过部署和配置 Cloudflare Worker 无服务器应用与 Cloudflare 集成。

准备工作

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Go to project selector
记录您的 Google Cloud 项目 ID 以供日后使用。
Make sure that billing is enabled for your Google Cloud project.

注意：免费试用不收取任何费用。
Enable the reCAPTCHA Enterprise API.
Enable the API
创建用于身份验证的 API 密钥：
1. 在 Google Cloud 控制台中，前往凭据页面。
  
  进入“凭据”页面
2. 点击 创建凭据，然后选择 API 密钥。
3. 记录 API 密钥以备后用。
规划您希望如何实现 reCAPTCHA 的功能 WAF，可保护您的网站。
1. 选择最适合您的使用情形的一项或多项 WAF 功能。
2. 确定要保护的网页。
3. 选择您要在特定网页
4. 确定管理用户访问权限的条件。
5. 了解 reCAPTCHA 防火墙政策组件及其属性可帮助您创建 reCAPTCHA 防火墙政策。如需查看示例，请参阅 reCAPTCHA 防火墙政策示例。
创建或选择具有 Cloudflare Worker 功能的 Cloudflare 账号。
创建或选择 Cloudflare 网站。
下载适用于 Cloudflare 的 reCAPTCHA 软件包 recaptcha_cloudflare_client_0.0.2.tar.gz。

实现 reCAPTCHA for WAF 的功能

根据您的要求，您可以在单个应用中使用 reCAPTCHA for WAF 的一个或多个功能。

如果您想使用多项功能，则必须为每项功能分别创建 reCAPTCHA 密钥，并在应用中使用这些密钥。例如，如果您使用 reCAPTCHA 操作令牌和 reCAPTCHA 验证页面，那么您必须创建操作令牌密钥和挑战页面密钥，应用。

action-token

您必须在网页上运行 reCAPTCHA 才能生成操作令牌。 reCAPTCHA 生成操作令牌后，您可以在需要保护任何用户操作（例如 checkout）的情况下将操作令牌附加到预定义的请求标头。默认情况下，操作令牌的有效期为 30 分钟，但可能会因流量而异。您必须在令牌过期之前将操作令牌附加到预定义的请求标头中， cloudflare 可以评估令牌属性。

如需实现 reCAPTCHA 操作令牌，请执行以下操作：

为您的网站创建操作令牌密钥。
gcloud

如需创建 reCAPTCHA 键，请使用 gcloud recaptcha keys create 命令。

在使用下面的命令数据之前，请先进行以下替换：
- DISPLAY_NAME：密钥的名称。通常是网站名称。
- INTEGRATION_TYPE：集成类型。指定 score 或 checkbox。
- DOMAIN_NAME：获准使用该密钥的网站的网域或子网域。
  以英文逗号分隔的列表形式指定多个网域。可选：指定 --allow-all-domains 来停用域名验证。
  
  停用域名验证是一项安全风险，因为网站不受限制，因此任何人都可以访问和使用 reCAPTCHA 密钥。
- WAF_FEATURE：WAF 功能的名称。指定 action-token。
- WAF_SERVICE：WAF 服务提供商的名称。为 cloudflare 指定 cloudflare。
执行 gcloud recaptcha keys create 命令：
Linux、macOS 或 Cloud Shell

gcloud recaptcha keys create \ --web \ --display-name=DISPLAY_NAME \ --integration-type=INTEGRATION_TYPE \ --domains=DOMAIN_NAME \ --waf-feature=WAF_FEATURE \ --waf-service=WAF_SERVICE
Windows (PowerShell)

gcloud recaptcha keys create ` --web ` --display-name=DISPLAY_NAME ` --integration-type=INTEGRATION_TYPE ` --domains=DOMAIN_NAME ` --waf-feature=WAF_FEATURE ` --waf-service=WAF_SERVICE
Windows (cmd.exe)

gcloud recaptcha keys create ^ --web ^ --display-name=DISPLAY_NAME ^ --integration-type=INTEGRATION_TYPE ^ --domains=DOMAIN_NAME ^ --waf-feature=WAF_FEATURE ^ --waf-service=WAF_SERVICE
响应中包含新创建的 reCAPTCHA 密钥。
REST
如需了解密钥类型和集成类型的 API 参考信息，请参阅密钥和集成类型。
在使用任何请求数据之前，请先进行以下替换：
- DISPLAY_NAME：密钥的名称。通常是网站名称。
- INTEGRATION_TYPE：集成类型。指定 score 或 checkbox。
- DOMAIN_NAME：获准使用该密钥的网站的网域或子网域。
  以英文逗号分隔的列表形式指定多个网域。可选：指定 --allow-all-domains 来停用域名验证。
  
  停用域名验证是一项安全风险，因为网站不受限制，因此任何人都可以访问和使用 reCAPTCHA 密钥。
- WAF_FEATURE：WAF 功能的名称。指定 action-token。
- WAF_SERVICE：WAF 服务提供商的名称。为 cloudflare 指定 cloudflare。
HTTP 方法和网址：
POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys
请求 JSON 正文：
{ "displayName": "DISPLAY_NAME", 'wafSettings': " { "wafService": "WAF_SERVICE", "wafFeature": "WAF_FEATURE" } "webSettings": { "allowedDomains": "DOMAINS", "integrationType": "TYPE_OF_INTEGRATION" } }
如需发送请求，请选择以下方式之一：
curl

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI，或者使用了 Cloud Shell，这会使您自动登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys"

PowerShell

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys" | Select-Object -Expand Content
您应该收到类似以下内容的 JSON 响应：
{ "name": "projects/project-id/keys/7Ldqgs0UBBBBBIn4k7YxEB-LwEh5S9-Gv6QQIWB8m", "displayName": "DISPLAY_NAME, "webSettings": { "allowAllDomains": true, "allowedDomains": [ "localhost" ], "integrationType": "SCORE", }, "wafSettings": { "wafService": "cloudflare", "wafFeature": "ACTION_TOKEN" } }
记录您的操作令牌密钥以供日后使用。
在网页上集成 reCAPTCHA JavaScript，并使用您创建的操作令牌密钥。如需查看相关说明，请参阅与您的 Action-Token 键的集成类型对应的文档。
- 对于 SCORE 集成类型：请参阅将基于得分的密钥与前端集成。
- 对于 CHECKBOX 集成类型，请参阅在前端呈现 reCAPTCHA 微件。

从 reCAPTCHA 收到令牌后，请将令牌附加到预定义的请求标头，格式如下：

 X-Recaptcha-Token: value-of-your-action-token

您可以使用 XHR、Ajax 或 Fetch API 等语言将令牌附加到预定义的请求标头。

以下示例脚本展示了如何保护 execute 操作并附加使用 JavaScript + XHR 将令牌传递给预定义的请求标头：

  
  <script>
    src="https://www.google.com/recaptcha/enterprise.js?render=ACTION_TOKEN_KEY"></script>

    <script>
    function onSuccess(action_token) {
         const xhr = new XMLHttpRequest();
         xhr.open('GET','YOUR_URL', false);
         // Attach the action-token to the predefined request header
         xhr.setRequestHeader("X-Recaptcha-Token", action_token);
         xhr.send(null);
       }
       function onError(reason) {
         alert('Response promise rejected: ' + reason);
       grecaptcha.enterprise.ready(function () {
         document.getElementById("execute-button").onclick = () => {
           grecaptcha.enterprise.execute('ACTION_TOKEN_KEY', {
           }).then(onSuccess, onError);
         };
       });
      }
    </script>

session-token

在评估后，reCAPTCHA JavaScript 会在最终用户的浏览器上将 reCAPTCHA 会话令牌设置为 Cookie。最终用户的浏览器会将并刷新该 Cookie reCAPTCHA JavaScript 仍然有效。

如需以 Cookie 形式提供会话令牌，请在至少其中一个最终用户在访问需要保护的网页之前浏览的网页上安装会话令牌密钥。例如，如果您想保护结账页面，请在首页或商品页面上安装会话令牌密钥。

您可以在网页上添加 reCAPTCHA JavaScript wrangler.toml 文件（安装 reCAPTCHA 软件包时） Cloudflare 或安装网页上的会话密钥。添加 reCAPTCHA JavaScript Cloudflare 使用会话令牌密钥集成 reCAPTCHA 而无需在网页上手动安装密钥。

您可以使用此 Cookie 保护最终用户的后续请求和网页在特定网域上加载。会话令牌的有效期默认为 30 分钟。但是，如果最终用户留在实施 session-token, reCAPTCHA 会定期刷新会话令牌，以防发生会话令牌避免过期。

在需要受 reCAPTCHA 保护的每个页面上安装会话令牌。我们建议您使用 reCAPTCHA 保护每个网页，并使用用于对除第一个页面以外的所有页面强制执行访问权限的 Google Cloud Armor 规则最终用户浏览的网页

以下是一个 reCAPTCHA 会话令牌示例：

   recaptcha-ca-t=value-of-your-session-token;domain=domain;expires=expiration_time

如需实现 reCAPTCHA 会话令牌，请执行以下操作：

为您的网站创建会话令牌密钥。
gcloud

如需创建 reCAPTCHA 密钥，请使用 gcloud recaptcha keys create 命令。

在使用下面的命令数据之前，请先进行以下替换：
- DISPLAY_NAME：密钥的名称。通常是网站名称。
- INTEGRATION_TYPE：集成类型。指定 score。
- DOMAIN_NAME：获准使用该密钥的网站的网域或子网域。
  以英文逗号分隔的列表形式指定多个网域。可选：指定 --allow-all-domains 来停用域名验证。
  
  停用域名验证是一项安全风险，因为网站不受限制，因此任何人都可以访问和使用 reCAPTCHA 密钥。
- WAF_FEATURE：WAF 功能的名称。指定 session-token。
- WAF_SERVICE：WAF 服务提供商的名称。为 cloudflare 指定 cloudflare。
执行 gcloud recaptcha keys create 命令：
Linux、macOS 或 Cloud Shell

gcloud recaptcha keys create \ --web \ --display-name=DISPLAY_NAME \ --integration-type=INTEGRATION_TYPE \ --domains=DOMAIN_NAME \ --waf-feature=WAF_FEATURE \ --waf-service=WAF_SERVICE
Windows (PowerShell)

gcloud recaptcha keys create ` --web ` --display-name=DISPLAY_NAME ` --integration-type=INTEGRATION_TYPE ` --domains=DOMAIN_NAME ` --waf-feature=WAF_FEATURE ` --waf-service=WAF_SERVICE
Windows (cmd.exe)

gcloud recaptcha keys create ^ --web ^ --display-name=DISPLAY_NAME ^ --integration-type=INTEGRATION_TYPE ^ --domains=DOMAIN_NAME ^ --waf-feature=WAF_FEATURE ^ --waf-service=WAF_SERVICE
响应中包含新创建的 reCAPTCHA 密钥。
REST
如需了解密钥类型和集成类型的 API 参考信息，请参阅密钥和集成类型。
在使用任何请求数据之前，请先进行以下替换：
- DISPLAY_NAME：密钥的名称。通常是网站名称。
- INTEGRATION_TYPE：集成类型。指定 score。
- DOMAIN_NAME：获准使用该密钥的网站的网域或子网域。
  以英文逗号分隔的列表形式指定多个网域。可选：指定 --allow-all-domains 来停用域名验证。
  
  停用域名验证是一项安全风险，因为网站不受限制，因此任何人都可以访问和使用 reCAPTCHA 密钥。
- WAF_FEATURE：WAF 功能的名称。指定 session-token。
- WAF_SERVICE： WAF 服务提供商。为 cloudflare 指定 cloudflare。
HTTP 方法和网址：
POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys
请求 JSON 正文：
{ "displayName": "DISPLAY_NAME", 'wafSettings': " { "wafService": "WAF_SERVICE", "wafFeature": "WAF_FEATURE" } "webSettings": { "allowedDomains": "DOMAINS", "integrationType": "TYPE_OF_INTEGRATION" } }
如需发送请求，请选择以下方式之一：
curl

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI，或者使用了 Cloud Shell，这会使您自动登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys"

PowerShell

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys" | Select-Object -Expand Content
您应该收到类似以下内容的 JSON 响应：
{ "name": "projects/project-id/keys/7Ldqgs0UBBBBBIn4k7YxEB-LwEh5S9-Gv6QQIWB8m", "displayName": "DISPLAY_NAME, "webSettings": { "allowAllDomains": true, "allowedDomains": [ "localhost" ], "integrationType": "SCORE", }, "wafSettings": { "wafService": "cloudflare", "wafFeature": "SESSION_TOKEN" } }
记录您的会话令牌密钥以供日后使用。

如果您想从 Cloudflare 注入 reCAPTCHA JavaScript，请跳过下一步，然后配置 wranger.toml。

将会话令牌密钥和 waf=session 添加到 reCAPTCHA JavaScript。

以下示例脚本展示了如何在网页上实现会话令牌：

<!DOCTYPE html>
<html lang="en">
<head>
 <meta charset="UTF-8">
 <title>reCAPTCHA WAF Session Token</title>
 <script src="https://www.google.com/recaptcha/enterprise.js?render=SESSION_TOKEN_KEY&waf=session" async defer></script>
 <body></body>
</head>
</html>

challenge-page

当您实现 reCAPTCHA 验证页面时，reCAPTCHA 将重定向到一个插页，并在这里确定是否需要展示用户进行人机识别系统验证因此，并非所有用户都可以看到人机识别系统质询。

如需实现 reCAPTCHA 验证页面，请执行以下操作：

为您的网站创建挑战页密钥。
gcloud

如需创建 reCAPTCHA 键，请使用 gcloud recaptcha keys create 命令。

在使用下面的命令数据之前，请先进行以下替换：
- DISPLAY_NAME：密钥的名称。通常是网站名称。
- INTEGRATION_TYPE：集成类型。指定 invisible。
- DOMAIN_NAME：获准使用该密钥的网站的网域或子网域。指定 --allow-all-domains。
- WAF_FEATURE：WAF 功能的名称。指定 challenge-page。
- WAF_SERVICE： WAF 服务提供商。为 cloudflare 指定 cloudflare。
执行 gcloud recaptcha keys create 命令：
Linux、macOS 或 Cloud Shell

gcloud recaptcha keys create \ --web \ --display-name=DISPLAY_NAME \ --integration-type=INTEGRATION_TYPE \ --domains=DOMAIN_NAME \ --waf-feature=WAF_FEATURE \ --waf-service=WAF_SERVICE
Windows (PowerShell)

gcloud recaptcha keys create ` --web ` --display-name=DISPLAY_NAME ` --integration-type=INTEGRATION_TYPE ` --domains=DOMAIN_NAME ` --waf-feature=WAF_FEATURE ` --waf-service=WAF_SERVICE
Windows (cmd.exe)

gcloud recaptcha keys create ^ --web ^ --display-name=DISPLAY_NAME ^ --integration-type=INTEGRATION_TYPE ^ --domains=DOMAIN_NAME ^ --waf-feature=WAF_FEATURE ^ --waf-service=WAF_SERVICE
响应中包含新创建的 reCAPTCHA 密钥。
REST
如需查看有关密钥类型和集成类型的 API 参考文档信息，请参阅密钥和集成类型。
在使用任何请求数据之前，请先进行以下替换：
- DISPLAY_NAME：密钥的名称。通常是网站名称。
- INTEGRATION_TYPE：集成类型。指定 invisible。
- DOMAIN_NAME：获准使用该密钥的网站的网域或子网域。指定 --allow-all-domains。
- WAF_FEATURE：WAF 功能的名称。指定 challenge-page。
- WAF_SERVICE： WAF 服务提供商。为 cloudflare 指定 cloudflare。
HTTP 方法和网址：
POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys
请求 JSON 正文：
{ "displayName": "DISPLAY_NAME", 'wafSettings': " { "wafService": "WAF_SERVICE", "wafFeature": "WAF_FEATURE" } "webSettings": { "allowedDomains": "DOMAINS", "integrationType": "TYPE_OF_INTEGRATION" } }
如需发送请求，请选择以下方式之一：
curl

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI，或者使用了 Cloud Shell，这会使您自动登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys"

PowerShell

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys" | Select-Object -Expand Content
您应该收到类似以下内容的 JSON 响应：
{ "name": "projects/project-id/keys/7Ldqgs0UBBBBBIn4k7YxEB-LwEh5S9-Gv6QQIWB8m", "displayName": "DISPLAY_NAME, "webSettings": { "allowAllDomains": true, "allowedDomains": [ "localhost" ], "integrationType": "INVISIBLE", }, "wafSettings": { "wafService": "cloudflare", "wafFeature": "CHALLENGE_PAGE" } }
记录您的质询页面密钥以备后用。
如需将用户重定向到 reCAPTCHA 质询页面并接收 reCAPTCHA 令牌，请在受保护的网页上使用 redirect 操作创建防火墙政策。

快速

如需实现 reCAPTCHA 极速验证，请创建极速验证密钥。

In the Google Cloud console, activate Cloud Shell.

Activate Cloud Shell

At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
gcloud

如需创建 reCAPTCHA 密钥，请使用 gcloud recaptcha keys create 命令。

在使用下面的命令数据之前，请先进行以下替换：
- DISPLAY_NAME：密钥的名称。通常是网站名称。
- WAF_SERVICE：WAF 服务提供商的名称。为 cloudflare 指定 cloudflare。
执行 gcloud recaptcha keys create 命令：
Linux、macOS 或 Cloud Shell

gcloud recaptcha keys create \ --express \ --display-name=DISPLAY_NAME \ --waf-service=WAF_SERVICE
Windows (PowerShell)

gcloud recaptcha keys create ` --express ` --display-name=DISPLAY_NAME ` --waf-service=WAF_SERVICE
Windows (cmd.exe)

gcloud recaptcha keys create ^ --express ^ --display-name=DISPLAY_NAME ^ --waf-service=WAF_SERVICE
响应中包含新创建的 reCAPTCHA 密钥。
REST
如需了解有关密钥类型和集成类型的 API 参考文档信息，请参阅密钥和集成类型。
在使用任何请求数据之前，请先进行以下替换：
- DISPLAY_NAME：密钥的名称。通常是网站名称。
- WAF_SERVICE：WAF 服务提供商的名称。为 cloudflare 指定 cloudflare。
HTTP 方法和网址：
POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys
请求 JSON 正文：
{ "displayName": "DISPLAY_NAME", 'wafSettings': " { "wafService": "WAF_SERVICE", }
如需发送请求，请选择以下方式之一：
curl

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI，或者使用了 Cloud Shell，这会使您自动登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：

curl -X POST \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys"

PowerShell

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

将请求正文保存在名为 request.json 的文件中，然后执行以下命令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
-Method POST `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/keys" | Select-Object -Expand Content
您应该收到类似以下内容的 JSON 响应：
{ "name": "projects/project-id/keys/7Ldqgs0UBBBBBIn4k7YxEB-LwEh5S9-Gv6QQIWB8m", "displayName": "DISPLAY_NAME, }, "wafSettings": { "wafService": "cloudflare", } }
请录制您的极速密钥以供日后使用。

与 Cloudflare 集成

如需使用 reCAPTCHA 防火墙政策，您必须部署并配置 Cloudflare Worker 无服务器应用。

在开始集成流程之前，请执行以下操作：

创建一个 CLOUDFLARE_API_TOKEN，然后选择 Edit Cloudflare Workers 模板。记录 API 令牌以供日后使用。
获取您的 Cloudflare API 账号 ID 并将其记录下来，以供日后使用。

安装适用于 Cloudflare 的 reCAPTCHA 软件包

下载并安装适用于 Cloudflare 的 reCAPTCHA 软件包：
1. In the Google Cloud console, activate Cloud Shell.
  
  Activate Cloud Shell
  
  At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
2. 安装 wrangler 软件包：
```
 npm install -g wrangler
```
3. 下载适用于 Cloudflare 的 reCAPTCHA 软件包：
```
wget --load-cookies /tmp/cookies.txt https://dl.google.com/recaptchaenterprise/cloudflare_client/releases/recaptcha_cloudflare_client_0.0.2.tar.gz -O recaptcha_cloudflare_client_0.0.2.tar.gz && rm -rf /tmp/cookies.txt
```
4. 解压缩适用于 Cloudflare 的 reCAPTCHA 软件包：
```
tar -xvzf recaptcha_cloudflare_client_0.0.2.tar.gz
```
在 wrangler.toml 文件中，在 vars 部分：
- GCP_API_KEY：您为其创建的 Google Cloud API 密钥。身份验证。
- GCP_PROJECT_NUMBER：您的 Google Cloud 项目编号。
- RECAPTCHA_EXPRESS_SITE_KEY：Express 键（如果您使用的是 reCAPTCHA Express。
- RECAPTCHA_SESSION_SITE_KEY：会话令牌密钥（如果您是使用 reCAPTCHA 会话令牌。
- RECAPTCHA_ACTION_SITE_KEY：操作令牌密钥（如果您是验证其响应速度
- RECAPTCHA_CHALLENGE_SITE_KEY：挑战页面密钥（如果您是使用 reCAPTCHA 验证页面。
- RECAPTCHA_JS_INSTALL：您希望 Cloudflare Worker 使用 session-token 键在其中安装 reCAPTCHA JavaScript 的网页的网址。指定以 glob 模式表示的路径并使用 ; 作为分隔符。此选项仅适用于 reCAPTCHA 会话令牌。
- RECAPTCHA_ASSESSMENT_CALL：所需网页的网址 Cloudflare 工作器调用 reCAPTCHA Enterprise API，以评估 reCAPTCHA 得分并执行防火墙政策中配置的操作。指定以 glob 模式表示的路径并使用 ; 作为分隔符。
  
  注意：您在此变量中指定的路径必须与防火墙政策规则中指定的路径一致。
部署应用：
```
wrangler deploy
```

配置指向 Worker 应用的 Cloudflare 路由

登录 Cloudflare 信息中心，然后选择您的账号。
在导航菜单中，点击工作器和Pages，然后选择您的工作器应用。
点击触发器标签页，然后点击添加路由。
在添加路由对话框中，输入需要由 reCAPTCHA 保护的网页的路径，选择相应的可用区，然后点击添加路由。

创建 reCAPTCHA 防火墙政策

您必须创建防火墙政策，为您要保护的网站上的每个网页指定规则。您可以创建具有单个或 reCAPTCHA for WAF 的更多功能

在 reCAPTCHA 防火墙政策中，按照预期的顺序添加规则优先级。第 1 条规则的顺序最高。您还可以使用 ReorderFirewallPoliciesRequest 重新排列优先级。对于传入的请求，当政策条件与指定路径匹配时，您的 WAF 服务提供商会实施定义的操作以及后续规则，。

根据您选择的功能，请执行以下操作：
- 确定要保护的路径。
- 确定允许、重定向或屏蔽访问的条件。
- 确定规则的优先次序。
了解防火墙政策组件及其属性。
In the Google Cloud console, activate Cloud Shell.

Activate Cloud Shell

At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

如需替换 gcloud CLI 以访问 reCAPTCHA API 的公开预览版，请运行以下命令：

    gcloud config set api_endpoint_overrides/recaptchaenterprise https://public-preview-recaptchaenterprise.googleapis.com/

如需创建 reCAPTCHA 防火墙政策，请使用 gcloud recaptchafirewall-policies create 命令：
在 reCAPTCHA 防火墙政策中，按照预期顺序添加规则优先级。您必须先添加优先级最高的规则。对于传入的请求，当政策条件与指定路径匹配时，您的 WAF 服务提供商将实现定义的操作，然后规则。默认规则是允许访问。
```
   gcloud recaptcha firewall-policies create \
      --actions=ACTION \
      --condition=CONDITION \
      --description=DESCRIPTION \
      --path=PATH
  
```
请提供以下值：
- ACTION：您的 WAF 服务提供商必须执行的操作。它最多只能包含一个终端操作，是强制做出响应的操作。指定以下操作之一：
  - allow：允许访问请求的网页。这是终止性操作。
  - block：拒绝对请求的网页的访问权限。这是一项终端操作。
  - redirect：将传入的用户请求重定向到 reCAPTCHA 质询页面。这是一项终端操作。
  - substitute：针对欺诈性用户请求提供的页面与请求的页面不同。这是一项终端操作。
  - set_header：设置自定义标头，并允许传入的用户请求继续传递到后端。然后，后端可以触发自定义保护措施。这是一项非终止操作。
- CONDITION：CEL （通用表达式语言）条件表达式，用于指定是否指定 reCAPTCHA 防火墙政策适用于传入的用户请求。如果此条件的求值结果为 true，并且请求的路径与路径模式匹配，则 WAF 服务提供商会执行关联的操作。通过在创建条件字符串时检查 CEL 语法是否正确。有关语言定义的相关信息 CEL 语言定义。
- DESCRIPTION：对 reCAPTCHA 防火墙政策旨在实现的目标的说明。说明不得超过 256 个 UTF-8 字符。
- PATH：适用于 reCAPTCHA 防火墙政策的路径。必须以 glob 模式指定。如需详细了解 glob，请参阅手册页面。
成功执行该命令后，系统会输出类似于系统会显示以下内容：
```
     Created [100].
   
```
以下示例创建了要屏蔽的 reCAPTCHA 防火墙政策当得分小于 0.1 时，针对/example/page.html的流量定位。
```
   gcloud recaptcha firewall-policies create \
     --description="example policy" \
     --path="/example/page.html" \
     --condition="recaptcha.score < 0.1" \
     --actions="block"
   
```

后续步骤

管理防火墙政策。

将 reCAPTCHA for WAF 与 Cloudflare 集成

准备工作

实现 reCAPTCHA for WAF 的功能

action-token

gcloud

Linux、macOS 或 Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl

PowerShell

session-token

gcloud

Linux、macOS 或 Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl

PowerShell

challenge-page

gcloud

Linux、macOS 或 Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl

PowerShell

快速

gcloud

Linux、macOS 或 Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl

PowerShell

与 Cloudflare 集成

安装适用于 Cloudflare 的 reCAPTCHA 软件包

配置指向 Worker 应用的 Cloudflare 路由

创建 reCAPTCHA 防火墙政策

后续步骤