Java验证码生成工具核心是用AWT/Swing动态绘图，通过BufferedImage和Graphics2D构建120×40等尺寸图像，启用抗锯齿与中文字体，排除易混字符，添加噪点与干扰线，输出PNG流并集成Session校验，辅以IP限频、时效控制等安全增强。
Java验证码生成工具的核心在于利用AWT和Swing的图形绘制能力，在内存中动态创建图像，并叠加干扰元素与随机字符。关键不是简单画图，而是控制可读性与防识别之间的平衡。
验证码图像基础构建
使用BufferedImage在内存中创建画布，通过Graphics2D获取绘图上下文。设置抗锯齿、文字渲染提示，能显著提升字符清晰度。图像尺寸通常设为120×40或140×45，宽高比需适配前端显示区域。
- 调用createGraphics()获取2D绘图对象
- 用setFont()指定支持中文的字体（如"SimSun"或"Noto Sans CJK SC"）
- 启用RenderingHints.KEY_TEXT_ANTIALIASING避免文字边缘锯齿
随机字符与干扰策略
验证码文本应排除易混淆字符（如0/O、1/l/I），推荐使用大小写字母+数字共52个字符的子集，长度固定为4~6位。干扰元素包括两类：背景噪点（随机像素点）和前景干扰线（多条斜线或贝塞尔曲线）。
- 噪点密度控制在总像素的1%~3%，避免覆盖主字符
- 干扰线建议3~5条，颜色略浅于字符色（如字符用深蓝#003366，线条用浅灰#CCCCCC）
- 每条线两端坐标随机生成，但确保至少一端落在图像边界外，增强切割难度
输出与集成方式
生成后不保存文件，而是将BufferedImage转为字节数组，以image/png响应类型写入HTTP响应流。Spring Boot项目中可封装为Controller方法，配合Session存储真实验证码值用于后续校验。
立即学习“Java免费学习笔记（深入）”；
- 用ImageIO.write(img, "png", response.getOutputStream())直接输出
- 设置响应头：response.setContentType("image/png")
- 添加Cache-Control: no-store防止浏览器缓存旧验证码
安全增强要点
纯图形验证码已难以抵御OCR或深度学习识别，需叠加逻辑防护。例如：每次生成时记录时间戳与IP哈希，限制单IP 60秒内最多请求5次；验证码有效期设为2分钟，超时自动失效；服务端校验时做大小写不敏感比对，但存储原始大小写组合供审计。
- 避免将验证码明文存在Cookie或URL参数中
- 校验成功后立即清空Session中的验证码值
- 返回JSON接口时，错误响应统一返回"code: 400, msg: '验证码错误或已过期'"，不区分是错还是过期
