System.Drawing在.NET 6+跨平台项目中报错，因其自.NET 6起被微软标记为仅Windows支持，Linux/macOS默认禁用GDI+；必须启用兼容模式或改用SkiaSharp等跨平台库。
直接说结论：用 System.Drawing 生成验证码图片在 .NET 6+ 跨平台项目中会出错，必须改用 SkiaSharp 或启用兼容模式；Windows 框架项目（.NET Framework 4.x）可直接用 Graphics + Bitmap，但要注意字体嵌入和抗锯齿干扰。
为什么 System.Drawing 在 .NET Core/.NET 5+ 中生成验证码会报错？
常见错误是 System.PlatformNotSupportedException: System.Drawing.Common is not supported on this platform。这是因为从 .NET Core 3.0 开始，System.Drawing 被标记为 Windows-only 兼容库，Linux/macOS 容器或跨平台部署时默认禁用。
解决方法不是加包就完事——必须显式启用：
- 在
.csproj中添加：<PropertyGroup> <EnableWindowsCompatibility>true</EnableWindowsCompatibility> </PropertyGroup>
- 仅限 Windows 部署场景下有效；若用 Docker（哪怕 base 镜像是
mcr.microsoft.com/dotnet/aspnet:6.0-windowsservercore），仍需确认 GDI+ 组件是否就绪 - 更稳妥的替代方案是切换到
SkiaSharp，它不依赖系统图形栈，且支持中文、旋转、噪点等进阶需求
用 SkiaSharp 生成带干扰线和倾斜字符的验证码图
核心思路是：创建 SKSurface → 获取 SKCanvas → 逐字符绘制（带随机角度）→ 加噪点 → 输出 PNG 流。关键细节如下：
- 字符倾斜不能用
RotateDegrees全局旋转画布，否则所有元素（包括干扰线）都会歪；应为每个字符单独设置SKPaint.TextScaleX/Y和SKPaint.TextAlign后平移定位 - 干扰线建议用
SKPath绘制贝塞尔曲线，比直线更难被 OCR 识别；避免使用纯黑（SKColors.Black），改用new SKColor(80, 80, 80)降低对比度 - 字体必须随程序发布：把 .ttf 文件设为
CopyToOutputDirectory，加载时用SKTypeface.FromFile("simhei.ttf")，别依赖系统字体名（如 "SimHei" 在 Linux 上不存在） - 示例片段（生成 4 字符验证码）：
using (var surface = SKSurface.Create(new SKImageInfo(120, 40))) { var canvas = surface.Canvas; canvas.Clear(SKColors.White); var typeface = SKTypeface.FromFile("simhei.ttf"); var paint = new SKPaint { Typeface = typeface, TextSize = 24 }; <pre class='brush:php;toolbar:false;'>string code = "ABCDEFGHJKLMNPQRSTUVWXYZ23456789"; var chars = Enumerable.Range(0, 4).Select(_ => code[new Random().Next(code.Length)]).ToArray(); for (int i = 0; i < chars.Length; i++) { paint.Color = new SKColor((byte)new Random().Next(50, 150), (byte)new Random().Next(50, 150), (byte)new Random().Next(50, 150)); canvas.DrawText(chars[i].ToString(), 20 + i * 25, 30 + (float)(Math.Sin(i * 0.5) * 5), paint); } // 输出到 HTTP 响应 var img = surface.Snapshot(); var data = img.Encode(SKEncodedImageFormat.Png, 100); return File(data.ToArray(), "image/png");}
ASP.NET Core 中如何安全返回验证码并绑定 Session？
验证码值不能存在客户端（如 hidden field），必须服务端存储并与当前请求上下文强绑定。常见错误是直接写进 HttpContext.Session.SetString 却忽略过期和并发问题：
- 务必设置过期时间：
HttpContext.Session.SetString("CaptchaCode", code); HttpContext.Session.SetInt32("CaptchaExpire", DateTime.Now.AddMinutes(5).ToBinary()); - 验证时先检查时间戳：
if (DateTime.FromBinary(HttpContext.Session.GetInt32("CaptchaExpire") ?? 0) - 不要用
Guid.NewGuid().ToString()当验证码 ID——它和用户 session 无关，攻击者可复用同一张图反复提交；必须用HttpContext.Session.Id关联 - 如果用了分布式缓存（如 Redis），Session 数据可能不同步，建议改用
IDistributedCache存储，key 拼接"captcha_" + HttpContext.Session.Id
真正麻烦的不是画图，而是让验证码既难被机器识别、又不给真实用户添堵。比如加太多噪点会导致移动端截图识别率暴跌，而字符间距太小会让视力不佳者无法分辨。这些平衡点没法靠模板代码解决，得看具体业务场景下的用户反馈再调。
