Turnstile还是reCAPTCHA：免费额度之外，网页速度也拉开差距

如果主要为网页注册、登录和表单拦截机器人，Turnstile值得优先试用：验证请求增长不会直接增加其免费版费用。若同一项目还要保护原生移动应用，或需要账号、短信及交易风险信号，reCAPTCHA的付费层更值得评估。最终选择取决于受保护动作的请求量、实际页面表现，以及现有风控规则要改动多少。

网页速度确有值得关注的差距：《The State of Web Vitals》的手机端数据显示，2026年第二季度使用Turnstile的网站组，最大内容绘制（LCP）p75为2.2秒、样本站点386个；使用reCAPTCHA的网站组为2.5秒、49,427个站点。同一组数据中，两者的交互下次绘制（INP）p75分别为178毫秒和136毫秒，指标并未一致地偏向某一方。不同网站群体的表现不能预测单个网站更换验证服务后的变化。

每月验证次数怎样变成账单

先按验证或评估请求计量，而不是按访客人数计量。一次访问可能包含注册、登录和找回密码等多个受保护动作；各动作是否发起请求，取决于网站的集成方式。跨站运营团队还要汇总各项目的用量，不能只拿流量最高的页面估价。

Cloudflare的Turnstile方案表列明，免费版的挑战和验证请求次数不限，每个账号最多20个widget，每个widget最多配置10个hostname；企业版价格需联系销售。对多品牌、多子域名或需要按用途分开管理组件的团队，先遇到的限制可能是配置容量，而不是请求量。免费版与企业版的分析回看范围和域名管理能力也不同，不能仅按验证次数判断是否适用。

Google Cloud的reCAPTCHA计费规则按组织合并各账号和站点的用量：每个自然月前1万次评估免费；未启用计费的Essentials超过限额后返回429配额错误；启用计费的Premium在第1万零1次至第10万次区间收8美元固定费用，超过10万次的部分每千次收1美元。Premium需要为项目启用计费，即使用量仍处于免费区间，使用其专属功能也有这一前提。

假设每月请求恰好落在以下档位、Turnstile免费版的配置容量足够，按公开验证价格计算：

• 1万次：Turnstile为0美元；reCAPTCHA Essentials或Premium也为0美元。
• 10万次：Turnstile为0美元；reCAPTCHA Premium为8美元。Essentials会在免费限额用尽后停止处理新增评估请求。
• 100万次：Turnstile为0美元；reCAPTCHA Premium为908美元，其中前10万次对应8美元，其余90万次对应900美元。

这组算式只覆盖基础评估量，不包括工程投入、需要额外评估的风控功能或企业合同。若结算环节既检查机器人风险又调用交易防护，采购时应把实际产生的评估请求一并计入。对规模较小的表单，固定费用可能不是主要差异；对高频登录或多个站点共享一个组织额度的项目，用量增长会更快改变预算。

LCP差距能说明什么

两组LCP值描述的是采用不同服务的网站各自呈现的页面体验。网站框架、图片、广告、访客地区和网络条件都可能影响结果，样本规模也悬殊；因此，不能把组间差值写成迁移项目的预期提速。LCP较低也不代表每项体验指标都较好，表单提交时的响应和挑战过程需要单独观察。

加载时机尤其关键。验证组件如果在首屏渲染前加载，可能参与页面的关键路径；如果直到用户提交表单才触发，首屏LCP未必能反映等待验证的感受。比较两个方案时，应在相同页面、相同触发动作和相近流量条件下观察真实用户的LCP、交互响应与提交完成情况。只测空白页面或只看脚本文件大小，都无法覆盖完整表单流程。

面向中国大陆、香港、台湾及新加坡的站点，还应按访客地区、设备和页面拆分测量。跨地区汇总值可能掩盖某一市场的网络差异；登录页与内容页混在一起，也会稀释验证组件对关键动作的影响。试点结果最好同时记录挑战出现率和正常用户的失败反馈，否则页面指标改善可能伴随新的提交障碍。

高级风控与移动端覆盖到哪里

Google Cloud的reCAPTCHA套餐表将基础机器人防护列入Essentials、Premium和Enterprise，并将账号防护及原生移动SDK列入Premium和Enterprise；密码、短信及交易防护在付费层可用，但表中注明这些功能需要额外评估。Enterprise采用有最低合同期的订阅方式。运营原生应用、处理账号接管风险或保护支付流程的团队，需要把这些功能及其请求量与基础机器人验证分开核算。

Turnstile免费版更适合在网页动作处取得令牌，再由服务端决定是否接受提交。其企业方案提供更大的配置容量和更长的分析回看范围，也面向需要高级机器人检测的组织。网页入口的令牌验证与账号行为、短信滥用或交易风险判断处于不同决策环节；现有系统若依赖后者的信号，替换网页组件不会自动迁移放行、补充验证和人工审核规则。

因此，普通留言表单与支付结算不必使用同一套选型标准。前者可能主要关心批量提交、误拦和维护成本；后者还要考虑账户历史、设备信号以及交易上下文。对混合业务，可以先列出每个风险动作实际使用的信号，再判断哪些入口只需基础验证，哪些入口仍需要付费风控能力。

从reCAPTCHA迁移要改哪些环节

Cloudflare的reCAPTCHA迁移说明将兼容模式限定在reCAPTCHA v2：前端可借助兼容参数保留部分调用方式和表单字段名，但仍需换成Turnstile的sitekey与secret key；服务端必须改用Turnstile的Siteverify地址，并以POST提交验证。采用其他版本或基于风险评分制定规则的系统，需要另行评估改造范围，不能将兼容模式视为完整替换。

迁移成本集中在真实请求链路，而不只是组件能否显示。前端需要确认验证何时触发、失败后如何让用户重试；服务端需要确认每个受保护入口都会校验令牌，并在验证失败时拒绝相应操作。配置上还要核对生产域名、子域名与测试环境是否落在所选方案的容量内。

1. 盘点注册、登录、找回密码、留言和结算等动作，记录各自的触发时机、请求量、现有评分规则及失败处理方式。
2. 规划widget与hostname，并确认服务端入口能够使用新的密钥和验证地址；兼容模式下也要逐项检查保留下来的前端调用。
3. 覆盖正常提交、令牌缺失、验证失败与重试场景，确认旧验证路径退出生产流程后不会放行未经验证的请求。
4. 按地区、设备和页面观察表单完成率、挑战率、误拦反馈及Web Vitals，再决定是否扩大试点流量。

若原系统使用账号或交易风险信号，清单还应包括每条决策规则的替代方式和负责人。这样才能把免费验证带来的账单变化，与页面体验、风控覆盖和工程工作量放进同一次选择中。

相关阅读：

• OpenTofu还是Terraform：速度几乎打平，状态加密才拉开差距
• Clockify还是Toggl：免费人数不是唯一成本，监控边界更关键
• AI写简历越来越容易：真正拉开差距的是可验证的工作证据