验证码功能通过PHP生成随机字符并存入Session，利用GD库绘制含干扰元素的图片输出给用户，用户提交后比对输入与Session中验证码是否一致。1. 使用imagecreate创建画布，添加背景色、干扰点，并用imagestring写入随机码；2. 将生成代码保存为captcha.php，在HTML表单中通过img标签引用，点击刷新避免缓存；3. 提交后在check.php中读取Session值进行比对，验证后建议清除Session；4. 安全增强措施包括使用imagefttext加载字体、增加字符扭曲、限制请求频率等。需确保开启Session、正确设置header且服务器支持GD库。
验证码功能在网站登录、注册等场景中非常常见，主要用于防止机器人恶意提交表单。PHP 实现验证码的核心思路是：生成随机字符串，将其保存到 Session 中，并以图片形式输出给用户。用户提交后，比对输入值与 Session 中的验证码是否一致。
1. 生成验证码图片
使用 PHP 的 GD 库可以动态生成图像。以下是创建验证码图片的基本步骤：
• 生成一个 4-6 位的随机字符（数字、字母混合）
• 创建画布并设置背景色和干扰元素（点、线）
• 将字符绘制到图像上，适当扭曲增加识别难度
• 输出图像并保存验证码到 Session
session_start();
$code = '';
$chars = '0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZ';
for ($i = 0; $i < 4; $i++) {
$code .= $chars[rand(0, strlen($chars) - 1)];
}
<p>// 存入 session
$_SESSION['captcha'] = $code;</p><p>// 创建图像
$width = 100;
$height = 40;
$image = imagecreate($width, $height);
$bgColor = imagecolorallocate($image, 255, 255, 255); // 白底
$textColor = imagecolorallocate($image, 0, 0, 0); // 黑字</p><p>// 添加干扰点
for ($i = 0; $i < 50; $i++) {
imagesetpixel($image, rand(0, $width), rand(0, $height), $bgColor);
}</p><p>// 写入验证码
imagestring($image, 5, 30, 10, $code, $textColor);</p><p>// 输出图像
header('Content-Type: image/png');
imagepng($image);
imagedestroy($image);</p>2. 在 HTML 页面中显示验证码
将上面生成验证码的代码保存为 captcha.php，然后在表单中通过 img 标签引用：
立即学习“PHP免费学习笔记（深入）”；
<form method="post" action="check.php">
<input type="text" name="captcha" placeholder="请输入验证码" />
<img src="captcha.php" alt="验证码" onclick="this.src='captcha.php?'+Math.random()" style="cursor:pointer;" />
<button type="submit">提交</button>
</form>
点击图片刷新验证码，利用时间戳或随机参数避免浏览器缓存。
3. 验证用户输入
用户提交表单后，在处理脚本中比对输入值与 Session 中的验证码：
session_start();
<p>if (isset($_POST['captcha'])) {
$input = strtoupper(trim($_POST['captcha']));
$correct = $_SESSION['captcha'];</p><pre class='brush:php;toolbar:false;'>if ($input === $correct) {
echo "验证成功";
} else {
echo "验证码错误，请重试";
}} else { echo "请输入验证码"; }
注意：验证完成后可选择清除 Session 中的验证码，防止重复使用。
4. 增强安全性建议
• 使用 imagefttext() 函数加载字体文件，使字符更难被 OCR 识别
• 添加轻微旋转或波浪变形效果
• 控制验证码有效期（如结合时间戳）
• 限制同一 IP 短时间内请求次数
基本上就这些。核心在于 Session 与图像输出的配合，不复杂但容易忽略细节，比如开启 Session 和正确设置 header。确保服务器支持 GD 扩展，否则无法生成图片。调试时可先注释掉 header 输出，查看变量内容。
