极验验证码加载失败如何排查？

Question

极验验证码加载失败如何排查？一个常见问题是因跨域请求被浏览器拦截导致。当网站域名与极验接口域名不一致且未正确配置CORS策略时，浏览器会阻止资源加载，表现为验证码空白或加载超时。排查时应首先检查浏览器控制台是否报“Access-Control-Allow-Origin”错误，确认前端引用的极验JS地址是否正确，并确保后端已正确配置响应头支持跨域。同时需验证服务端Geetest SDK初始化参数（如captcha_id、private_key）是否正确，网络请求是否被防火墙或CDN拦截。建议通过F12查看Network面板中gt.js或api.js请求状态，结合极验官方文档校验集成流程完整性，逐步定位问题根源。

Answer 1

一、极验验证码加载失败的常见现象与初步定位

当用户在网页中集成极验（Geetest）行为验证时，常遇到验证码无法加载或显示为空白的问题。典型表现为：

• 页面中验证码区域空白无内容；
• 浏览器控制台报错“No 'Access-Control-Allow-Origin' header is present”；
• Network 面板中 gt.js 或 api.js 请求状态为 403、404 或 CORS 错误；
• 前端调用 initGeetest() 后无响应或抛出异常。

这些问题通常指向资源加载失败或跨域策略限制，需从客户端开始逐层排查。

二、前端层面排查流程

使用浏览器开发者工具（F12），进入 Network 和 Console 面板进行分析：

1. 刷新页面，观察是否成功加载 https://static.geevisit.com/static/js/gt.js（或其他官方 CDN 地址）；
2. 若请求返回 404，检查前端引用路径是否正确，避免拼写错误或旧版 URL；
3. 若出现 CORS 报错，说明浏览器因安全策略阻止了跨域脚本加载；
4. 确认当前页面域名已添加至极验后台的“授权域名”列表中；
5. 检查是否有 Content Security Policy (CSP) 拦截外部 JS 加载，可通过 Meta 标签或响应头查看。

请求资源	预期状态码	常见错误原因
gt.js	200 OK	CORS未配置、网络拦截、域名未授权
api.js	200 OK	防火墙阻断、SDK初始化失败
/validate 接口	200 OK	private_key 错误、参数缺失

三、服务端 SDK 初始化校验

极验后端 SDK 必须正确配置以下参数：

// 示例：PHP 初始化代码
$GtSdk = new GeetestLib($captcha_id, $private_key);
$status = $GtSdk->register();
if ($status != 1) {
    die('Geetest register failed: ' . $GtSdk->get_error());
}
    

需确保：

• captcha_id 和 private_key 来自极验后台且未过期；
• 服务器时间与标准时间误差不超过 ±5 分钟，否则签名验证会失败；
• 服务端能正常访问极验 API 端点（如 api.geevisit.com）；
• 使用 cURL 或 Guzzle 发起请求时未被代理或 WAF 拦截。

四、跨域与安全策略深度解析

即使前端脚本能加载，后续 Ajax 请求仍可能受 CORS 影响。虽然极验自身接口支持 CORS，但某些企业级 CDN 或反向代理（如 Nginx、Cloudflare）可能修改响应头。

建议在服务端返回的响应中显式添加：

# Nginx 配置示例
add_header Access-Control-Allow-Origin "*";
add_header Access-Control-Allow-Methods "GET, POST, OPTIONS";
add_header Access-Control-Allow-Headers "Content-Type, Authorization";
    

注意：* 在生产环境应替换为具体域名以提升安全性。

五、网络链路与中间件干扰分析

部分企业架构中存在多层网络控制机制，可能导致请求中断：

• 公司防火墙屏蔽了极验 API 域名；
• CDN 缓存了错误响应或 JS 文件版本陈旧；
• 负载均衡器重写 Host 头导致签名不匹配。

可通过以下命令测试连通性：

curl -v https://api.geevisit.com/validate.php
ping api.geevisit.com
nslookup static.geevisit.com
    

六、完整排查流程图

graph TD
            A[验证码加载失败] --> B{前端能否加载 gt.js?}
            B -- 否 --> C[检查域名授权 & 引入地址]
            B -- 是 --> D[查看 Network 中 api.js 请求]
            D --> E{是否存在 CORS 错误?}
            E -- 是 --> F[检查 CSP / Nginx / CDN 配置]
            E -- 否 --> G[检查后端 SDK 初始化]
            G --> H{register() 是否成功?}
            H -- 否 --> I[核对 captcha_id & private_key]
            H -- 是 --> J[测试服务端到极验 API 连通性]
            J --> K[问题定位完成]