Google 正把新一代 reCAPTCHA 的部分 Android 挑战验证接到 Google Play Services 上。
按照现有支持信息，Android 设备需要安装 Google Play Services 25.41.30 或更高版本。早期支持页截图曾显示门槛为 25.39.30，后来门槛变成了更高版本。
这不是说所有 reCAPTCHA 都会失败。关键条件是：系统判定访问存在可疑活动，并要求用户完成挑战验证。
问题也出在这里。过去常见的“选红绿灯、点斑马线”图片题，在这条路径里被 QR 码验证取代。扫描过程依赖 Play Services 与 Google 服务器通信。GrapheneOS 等去 Google 化 Android ROM 因缺少 Google 专有框架，可能过不了这一关。
变化在哪里：从网页答题，变成设备背书
reCAPTCHA 原本是网站区分真人和机器流量的常见工具。Google 在 2026 年 4 月 23 日 Cloud Next 上发布 Google Cloud Fraud Defense，把它放进更大的反欺诈体系，面向 AI agent 和传统机器人防护。
这个背景说得通。自动化访问越来越像真人。撞库、批量注册、刷票、薅羊毛，靠几张图片题已经越来越吃力。
但新变化的要害是：Android 用户要证明自己是人，部分场景下开始依赖 Google 自家的闭源基础设施。
| 对比项 | 旧式验证 | 新 Android 挑战验证 | 直接影响 |
|---|---|---|---|
| 验证形式 | 图片选择题等网页交互 | QR 码扫描验证 | 从网页行为转向设备能力校验 |
| Android 依赖 | 通常不要求 Play Services | 要求 Play Services 25.41.30+ | 去 Google 化系统可能失败 |
| iOS 对照 | 不适用 | iOS 16.4 及以上可完成同类验证 | iPhone 无需额外安装 Google 应用 |
| 风险边界 | 主要是体验和隐私争议 | 访问门槛与生态绑定叠加 | 网站部署者要承担排除效应 |
安全需求是真实的。网站运营者不是闲着没事给用户加门槛，他们要拦真实的攻击流量。
我不太买账的是另一点：当“是否安装 Google Play Services”进入验证条件，reCAPTCHA 就不只是安全组件了。它也在改变 Android 用户进入 Web 服务的条件。
谁会被卡住：少数隐私用户，但成本很具体
最直接受影响的是使用 GrapheneOS、CalyxOS 或其他去 Google 化 Android 系统的用户。
这些人不一定在做异常访问。他们很多只是主动移除了 Play Services，减少后台服务、账号绑定和专有框架依赖。
目前没有可靠公开数据能说明受影响用户规模，也不能把它说成大众故障。但对这类用户来说，卡点很具体。
登录银行、论坛、云服务、电商网站，或者进入注册、评论、支付前的风控环节时，只要触发挑战验证，问题就可能出现。过去是多点几张图。现在可能变成：请先补上你刻意移除的 Google 框架。
临时应对也不漂亮。
隐私 ROM 用户可能只能换设备、换网络环境、改用桌面端，或者在某些系统里尝试兼容层。但这些都不是稳定答案，也不是每个网站都会给替代入口。
iOS 的对照更刺眼。iOS 16.4 及以上可完成同类验证，无需额外安装 Google 应用。
这至少说明，移动设备验证并非天然必须绑定 Google App。Android 的特殊性在于，Google 同时站在平台、服务和安全基础设施的位置上。拒绝 Play Services 的 Android 用户，反而承担更高通行成本。
开发者要重新评估：安全工具也会决定谁能进门
对网站开发者来说，reCAPTCHA 的优势很明确：成熟、省事、接入成本低。很多团队不会为了一个小比例用户，重做整套风控。
这也是现实约束。Cloudflare Turnstile、hCaptcha 等替代方案也有误判、兼容性、隐私和地区可用性问题。自建风控更贵，还需要持续维护。
但这次变化提醒开发者：安全组件不是中性的水管。它会改变登录页、注册页、评论区和支付前检查的准入规则。
更稳妥的做法不是立刻迁移，而是先做三件事：
- 已经接入 reCAPTCHA 的团队，应检查 Android 挑战验证是否会影响关键路径，比如注册、登录、找回密码和付款。
- 面向隐私用户、开发者社区或开源社区的网站，应该准备备用验证方式，而不是只给一条 Google 路径。
- 准备新接入的团队，可以延后默认上线新版流程，先评估 Turnstile、hCaptcha 或自建风控的取舍。
接下来真正要看的是退路。
Google 是否提供不依赖 Play Services 的 Android 备用验证？网站能否选择关闭这一路径，或给用户另一种挑战方式？主流浏览器和隐私 ROM 社区能不能找到兼容方案？
如果这些退路都没有，reCAPTCHA 的角色就会继续变化。它会从反机器人工具，滑向生态筛选器。
这条线很细。拦机器人是正当需求；把不归队的 Android 用户也顺手挡在门外，就不是同一件事了。