用 golang.org/x/image 生成验证码最稳，需预加载 truetype.Font、设宽≥120px高≥40px、加噪点不加斜线、自定义文本生成、正确设 header 与错误处理、Docker 预装字体并禁用 Nginx gzip。
用 golang.org/x/image 生成验证码图片最稳
标准库不支持绘图，硬写 image 包底层容易崩——直接上 golang.org/x/image 是目前最省心的选择。它封装了字体渲染、抗锯齿、颜色填充等细节，且无 CGO 依赖，交叉编译友好。
常见错误是试图用 image/draw + 手动画线/点来“模拟”验证码，结果字符歪斜、字号失控、中文乱码，还挡不住简单 OCR。
- 必须用
truetype.Parse加载字体文件，不能只传字体名（系统字体路径不可靠） - 验证码宽度建议 ≥ 120px，高度 ≥ 40px，太小会导致
draw.Draw描边失真 - 别在 handler 里每次都
ioutil.ReadFile字体，提前解析好复用*truetype.Font - 噪点建议用随机半透明小圆点（
draw.Draw+image.Point），别用斜线——容易被 OpenCV 的霍夫变换识别
captcha.NewDigit 和自定义文本生成的区别
第三方包如 github.com/mojocn/base64Captcha 提供 captcha.NewDigit，但它的字符集固定为数字，且默认不支持中文或符号。如果你要生成「字母+数字+干扰符号」组合，就得自己控制文本生成逻辑。
关键不是“能不能”，而是“要不要绕过它的文本生成器”。它内部用 rand.Read 拼字符串，但没暴露 seed 控制，测试时难复现；而手写生成能精确控制长度、字符集、排除易混淆字符（如 0/O, 1/l）。
立即学习“go语言免费学习笔记（深入）”；
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 推荐自己写生成函数：
func RandText(length int, chars string) string，传入"ABCDEFGHJKLMNPQRSTUVWXYZ23456789" - 避免用
time.Now().UnixNano()做 seed——并发下可能重复；改用rand.New(rand.NewSource(time.Now().UnixNano() ^ int64(&chars))) - 生成的文本必须和 session 或 Redis 中存储的值严格一致，大小写敏感，空格零宽符都要校验
HTTP handler 中返回图片的正确姿势
直接 w.Header().Set("Content-Type", "image/png") 不够，漏掉缓存头会导致前端反复请求、后端重复生成；漏掉错误处理会让 500 变成空白图。
典型翻车现场：用 png.Encode(w, img) 后没检查 error，结果 PNG 编码失败（比如图像尺寸为 0），但 HTTP 状态码仍是 200，前端拿到空响应。
- 务必在 encode 前设 header：
w.Header().Set("Content-Type", "image/png")和w.Header().Set("Cache-Control", "no-store") - encode 后立即检查 error：
if err != nil { http.Error(w, "gen img failed", http.StatusInternalServerError); return } - 不要用
bytes.Buffer中转再写——小图没问题，但加了复杂噪点后内存分配抖动明显；直接写到http.ResponseWriter更轻量 - 如果走 base64 内嵌（如 JSON API），用
base64.StdEncoding.EncodeToString，别用URLEncoding，前端img.src不认
为什么验证码图片一部署就变模糊或错位
大概率是字体渲染环境差异：本地开发机有完整中文字体，Docker 镜像里只有 DejaVu Sans，导致中文 fallback 失败，draw.String 渲染出方块或偏移；或者容器没开时区、time.Now() 返回零值，seed 固定，验证码永远一样。
另一个隐形坑是图像缩放：Nginx 或 CDN 默认对 /captcha/* 路径加了 gzip on，PNG 被 gzip 压缩后损坏，浏览器解码失败显示红叉。
- Dockerfile 里显式安装字体：
RUN apt-get update && apt-get install -y fonts-dejavu-core，并确认字体路径（如/usr/share/fonts/truetype/dejavu/DejaVuSans.ttf） - 用
ldd ./your-binary | grep fontconfig确认无动态链接依赖；若出现，说明用了带 CGO 的绘图库，得关 CGO 或换方案 - Nginx 配置里加：
location /captcha { gzip off; }，或改用image/svg+xml（但 SVG 验证码更易被规则提取） - 所有时间相关操作，包括 seed、session 过期、日志打点，统一用
time.Now().In(time.UTC)，别信系统默认时区
最难调的其实是字体度量——face.Metrics 的 Height 和 Ascent 在不同字体版本下偏差可达 ±2px，这会导致多行文字上下错位。真要稳定，得实测目标字体的 baseline 偏移并手动修正 y 坐标。
