diff --git a/admin_login.php b/admin_login.php
index adbd0b2..643a7d7 100644
--- a/admin_login.php
+++ b/admin_login.php
@@ -2,6 +2,8 @@
 // ★ 紧急加固（2026-09-29）：第二层 IP 白名单 —— 登录页本身也只对白名单 IP 开放
 require_once __DIR__ . '/security.php';
 secGatePage();
+// ★ 人机验证（2026-10-02）：cgWidgetHtml() 渲染挂件，未配密钥时自动放行
+require_once __DIR__ . '/captcha_guard.php';
 ?>
 <!DOCTYPE html>
 <html lang="zh-CN">
diff --git a/api/admin.php b/api/admin.php
index c4fc994..94ff641 100644
--- a/api/admin.php
+++ b/api/admin.php
@@ -32,6 +32,8 @@ if (!extension_loaded('sqlite3')) {
 }
 
 require_once __DIR__ . '/../core.php';
+// ★ 人机验证（2026-10-02）：adminDoLogin 在密码比对前 cgEnforce()，未配密钥时自动放行
+require_once __DIR__ . '/../captcha_guard.php';
 
 if (!function_exists('error') || !function_exists('success') || !function_exists('getParam')) {
     exit(json_encode(['success' => false, 'message' => 'core.php load failed'], JSON_UNESCAPED_UNICODE));