Go标准库image/draw+image/color足以生成验证码图片，无需freetype或imaging；应分离图片与文本存储，用crypto/rand保证安全，加时间戳防缓存，推荐go-cache管理key生命周期。
验证码图片生成要用 golang/freetype 还是 github.com/disintegration/imaging？
直接用 image/draw + image/color 就够了，不需要引入 freetype 或 imaging。Go 标准库能画文字、噪点、干扰线，且无 CGO 依赖，部署干净。freetype 需要 cgo 开启，交叉编译麻烦；imaging 功能过剩，且对中文支持弱（默认无字体渲染能力）。
关键点：
-
image.NewRGBA创建画布，尺寸建议 120×40，太小易误识别，太大增加传输开销 - 用
draw.Draw填充背景色，避免默认黑底（可读性差） - 文字绘制必须手动逐字符调用
draw.Draw+image.NewUniform模拟“描边”，标准库不支持 TrueType 字体，所以用矩形块拼字母更稳 - 干扰线用
draw.Line，随机起止点 + 半透明色，数量控制在 3–5 条，太多影响 OCR 但太少降低安全性
http.Handler 中如何安全返回验证码图片和对应文本？
不能把验证码明文塞进 HTTP 响应体或 URL 参数——这等于直接泄露。必须分离：图片走二进制响应，文本存服务端并绑定用户上下文（如 session 或内存 map + TTL）。
实操要点：
立即学习“go语言免费学习笔记（深入）”；
- 生成 4–6 位随机字符串（
rand.Read+ base32 编码，避开易混淆字符如 0/O/l/I） - 用
time.Now().UnixNano()生成唯一 key，存入sync.Map，value 是struct{ Text string; Expire int64 } - 响应头设
Content-Type: image/png，用png.Encode(w, m)输出图像，不要加额外换行或空格 - 前端请求时带
X-Request-ID或从 cookie 读 session ID，后端据此查 map 并校验过期时间（建议 5 分钟）
为什么用 crypto/rand 而不用 math/rand？
math/rand 是伪随机，种子固定时序列可预测；攻击者若知道服务器启动时间或复用种子，能批量生成相同验证码。而 crypto/rand 读取操作系统熵池（Linux 的 /dev/urandom），满足密码学安全要求。
典型错误写法：
rand.Seed(time.Now().Unix()) // ❌ 绝对禁止正确做法：
func randString(n int) string {
b := make([]byte, n)
_, _ = crypto/rand.Read(b) // ✅
for i := range b {
b[i] = letters[b[i]%byte(len(letters))]
}
return string(b)
}注意：crypto/rand.Read 可能返回 err != nil，生产环境需检查；但实际在主流 Linux/macOS 上几乎不失败，可 panic 或 log 后 fallback 到重试。
前端刷新验证码时，如何避免浏览器缓存旧图？
浏览器对相同 URL 的 <img src="/captcha"> 会强缓存，导致点击刷新没变化。必须破坏 URL 缓存一致性。
三个有效方案：
- 加时间戳参数：
/captcha?_=${Date.now()}，简单直接 - 服务端设置响应头：
w.Header().Set("Cache-Control", "no-store")，但部分老浏览器不遵守 - 用 POST 请求生成验证码（返回 JSON {id, img_base64}），再由前端用 data URL 渲染，彻底绕过缓存机制
推荐第一种——改动最小、兼容性最好。别用 Math.random()，它可能重复；用 Date.now() 或 performance.now() 更可靠。
真正难的不是画图或传值，而是 key 的生命周期管理：map 不清理会内存泄漏，用 time.AfterFunc 定时删又难控并发。建议直接上 github.com/patrickmn/go-cache，它自带 LRU 和过期自动驱逐，比手写安全得多。
