GD扩展未启用、FreeType不支持、输出前有空格、session未启动或失效、Content-Type错误是PHP验证码失败的五大主因，需依次检查phpinfo、文件BOM、session_start()、响应头等配置。
GD扩展没启用或配置错误
PHP生成验证码依赖GD库处理图像，如果gd扩展未启用、被禁用，或缺少关键支持（如FreeType字体渲染），imagepng()、imagejpeg()等函数会直接失败，浏览器只看到空白或报错。
- 检查
phpinfo()输出中是否有“gd”模块，确认GD Support为enabled - 验证
FreeType Support是否开启（否则中文验证码可能出错或显示方块） - Linux下常见缺失包：
libfreetype6-dev（编译时）或php-gd（Ubuntu/Debian） - Windows用户注意
php.ini中extension=php_gd2.dll是否取消注释且路径正确
输出前有意外字符或空格
验证码图片本质是HTTP响应体为二进制图像数据，一旦在header()调用前有任何输出（哪怕一个空格、BOM头、echo、调试var_dump()），PHP就会触发“Headers already sent”警告，导致图片无法渲染。
- 用编辑器检查验证码脚本文件：确保
<?php前无任何字符（包括UTF-8 BOM） - 禁用框架自动输出（如Laravel的
dd()、ThinkPHP的halt()） - 验证码逻辑应独立于模板渲染流程，避免走视图层；推荐用纯PHP脚本或控制器中明确关闭缓冲：
ob_end_clean()
session未启动或失效
多数验证码实现依赖$_SESSION存储校验码，若session未开启、session_id丢失、或session存储路径不可写，会导致服务端比对始终失败，前端看似“不刷新”或“总提示错误”。
- 在验证码生成前加
session_start()，并确认返回值非false - 检查
session.save_path指向目录是否存在、可写（Linux下常见权限问题） - Nginx + PHP-FPM部署时，注意
php_admin_value[session.save_path]是否被覆盖 - 前端请求验证码图片时，确保携带了有效的
PHPSESSIDcookie（禁用第三方cookie或隐私模式下易丢失）
Content-Type响应头错误或缺失
浏览器靠Content-Type: image/png（或image/jpeg）识别响应为图片。若框架自动设置为text/html，或开发者忘了header()，图片就会被当作文本解析，显示乱码或源代码。
立即学习“PHP免费学习笔记（深入）”；
- 必须在输出图像前调用：
header('Content-Type: image/png');（格式需与imagepng()一致） - ThinkPHP/Laravel等框架常默认设置
text/html，需手动覆盖或使用原生响应对象 - 不要混用
echo输出HTML后再试图输出图片——二者互斥
有些项目把验证码塞进AJAX接口里返回base64，这绕过了Content-Type问题，但增加了前端解码负担和XSS风险；真正可靠的方案还是走独立图片URL + 正确HTTP头。
