使用dchest/captcha或mojocn/base64Captcha均可，但需注意：前者VerifyString验证即删ID，后者store.Verify需显式设true才删除；两者均无自动过期，须配SetExpiration或换RedisStore；reCAPTCHA v3必须校验响应中的Hostname、Action与Score，且secret key严禁硬编码。
Go 里加验证码防机器人，不是加个图片就完事——关键在「验证逻辑是否可绕过」和「服务端校验是否可信」。用错库、配错参数、漏掉 hostname 校验，都可能让验证码形同虚设。
选 dchest/captcha 还是 mojocn/base64Captcha？
内存型库够用，但得看部署场景：
-
dchest/captcha默认纯内存存储，无外部依赖，VerifyString调用后自动清除 ID，适合单实例部署；但不支持自定义字符集（只能数字+大小写字母），且无法直接返回 base64 图片，前端需额外请求/captcha/{id}路径 -
mojocn/base64Captcha生成即返 base64 字符串，省去一次 HTTP 请求，NewDriverDigit可控位数、噪声、宽高；但它默认的DefaultMemStore是全局变量，多 goroutine 并发时若没加锁，可能因 map 写冲突 panic（实测 v2.3.0 有此问题） - 两者都不带过期清理机制——ID 存在内存里直到被验证或程序重启。线上长期运行必须配
SetExpiration（前者）或换RedisStore（后者）
VerifyString 和 store.Verify 的一次性陷阱
两个库都默认「验证成功即删除」，但行为细节不同：
-
dchest/captcha.VerifyString(id, value)：内部调用Get后立刻Delete，哪怕你传入错误 value，只要 ID 存在，也会被删掉——导致用户刷新页面后拿不到原 ID 对应的图 -
base64Captcha.store.Verify(id, value, true)：第三个参数为true才删除；设false会保留，但下次再验同一 ID 就会失败（因为答案已失效） - 别在验证前手动
Get再比对——这会跳过库内置的清除逻辑，造成 ID 泄露+重放风险
Google reCAPTCHA v3 的 hostname 校验为什么必须做？
v3 token 不绑定域名，攻击者拿到你前端 JS 的 site key 后，可在任意域名下执行 grecaptcha.execute() 拿到 token，然后发给你后端校验——如果你不检查响应里的 hostname 字段，等于白加：
Golang Spf13 Viper
下载
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
立即学习“go语言免费学习笔记（深入）”；
- 校验响应中必须同时满足：
res.Success == true（v3 实际是res.Score >= 0.5）、res.Action == "login"（你前端指定的 action）、res.Hostname == "yourdomain.com" - 注意：
res.Hostname是 Google 从请求头Origin或Referer提取的，不是你传过去的参数；如果前端跨域请求未带 Origin，该字段为空，直接拒绝 - 别信
req.Header.Get("Origin")——它可被伪造；唯一可信来源只有 Google 返回的hostname
secret_key 硬编码的后果比你想象的严重
Go 编译后的二进制文件里，6L... 开头的 secret key 能被 strings captcha 直接搜出来：
- 本地开发用
godotenv.Load()加载.env，但必须确保.gitignore包含它；CI/CD 流水线里禁止echo $SECRET > .env - K8s 中必须用
Secret挂载为环境变量，代码统一走os.Getenv("RECAPTCHA_SECRET_KEY")，启动时 panic if empty - 千万别在 struct tag 里写默认值：
type Config struct { Secret string `env:"RECAPTCHA_SECRET_KEY" default:"6L..."` }—— default 值会被编译进二进制
最易被忽略的是：reCAPTCHA v3 的 score 阈值不能写死在 if 判断里。0.5 在测试环境够用，上线后可能要调到 0.7 甚至 0.8——得从配置中心或环境变量读，而不是改代码重发。
