reCAPTCHA v3（打分式，无交互）

我们要的是 website_url（验证码所在页面的完整 URL，不是首页）、website_key，可选 page_action / api_domain / min_score。

website_key（sitekey）——四个位置，任选一个

1. script 标签的 query 参数（最常见、最可靠）：
<script src="https://www.google.com/recaptcha/api.js?render=6Lxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"></script>
render= 后面那 40 个字符就是 sitekey。控制台一行取：
document.querySelector('script[src*="recaptcha/api.js"]').src
⚠ 判据也在这里：render 的值是一串 key → v3；值是字面量 explicit 或压根没有 render → 那是 v2，别按 v3 提交。
2. 自动绑定写法时挂在按钮上：
<button class="g-recaptcha" data-sitekey="6Lxx…" data-callback="onSubmit" data-action="submit">
→ data-sitekey 属性。这种写法 data-action 顺带把 action 也给你了。
3. 徽标 iframe 的 URL：找 div.grecaptcha-badge 里那个 iframe，src 形如
https://www.google.com/recaptcha/api2/anchor?ar=1&k=<sitekey>&co=<base64>&hl=en&size=invisible
→ k= 参数就是 sitekey。（co= 是 base64 编码的来源，例如 aHR0cHM6Ly93d3cuZ29vZ2xlLmNvbTo0NDM. 解出来是 https://www.google.com:443，这个不用传给我们。）
4. 兜底正则：document.documentElement.outerHTML.match(/6L[\w-]{38}/g)。sitekey 官方只保证「40 位、大小写敏感」，实践中普遍以 6L 开头。
页面 JS 已跑起来时还可以读内部配置对象 ___grecaptcha_cfg.clients，逐个展开找 sitekey（非官方 API，但在 reCAPTCHA 页面上普遍存在）。

page_action——最容易漏、也最容易错的一个

它是 grecaptcha.execute() 第二个参数对象里的 action 值：

grecaptcha.ready(function () {
  grecaptcha.execute('<sitekey>', {action: 'submit'}).then(function (token) { … });
});

三种找法，从易到难：
- DOM 上直接有：.g-recaptcha 元素的 data-action 属性；
- DevTools 全局搜索（Cmd/Ctrl+Opt+F，搜所有已加载资源）搜 grecaptcha.execute 或 {action，压缩过的 bundle 里字面量通常还在；
- action 是运行时拼出来的变量时，在触发那个动作之前先在 console 打一个探针，然后再点提交，真值会打出来：

const _x = grecaptcha.execute;
grecaptcha.execute = (k, o) => { console.log('sitekey:', k, 'opts:', o); return _x(k, o); };

Google 的硬约束：action 只能含字母、数字、斜杠和下划线，且不区分大小写。官方推荐值也是最常见的字面量：login signup password_reset checkout cart_add cart_view payment_add get_price transaction_confirmed。
⚠ 不要猜。 目标站后端会校验返回的 action 与预期是否一致，Google 官方文档明说不一致意味着「有人在伪造 action」。猜错的后果是 token 在目标站被拒，而我们这边显示成功——所以我们不替你填默认值，你不传就不发。

api_domain

只在页面从备用域加载脚本时才需要。看 script 的 host：www.google.com（默认，不用传）还是 www.recaptcha.net（要传）。后者是 Google 官方提供的备选域，用于规避 google.com 上的其他 Cookie，或 google.com 不可达的地区。