优先选imagettftext()：支持TTF字体、旋转、抗锯齿，可防OCR；imagestring()仅限内置1–5号位图字体，无旋转抗锯齿，仅适用于极简验证码。
GD库生成验证码时，imagestring()和imagettftext()怎么选
imagestring() 只支持内置位图字体，字号固定（1–5），不能旋转、不能抗锯齿，适合纯数字或极简字母验证码；imagettftext() 支持任意 TTF 字体、字号、角度、间距，能加粗/倾斜/微偏移，是防 OCR 的关键。
- 必须传入绝对路径：用
<strong>DIR</strong> . '/fonts/arial.ttf'，别用'./fonts/arial.ttf'或相对路径 - 若报错
Could not find/open font，99% 是路径问题，不是字体文件损坏 - 中文验证码必须用
imagettftext()，imagestring()完全不支持 - 字体文件需有 PHP 进程读取权限（常见坑：上传后 chmod 644 漏掉）
干扰线/噪点加太多反而被机器识别得更准
规律性干扰（比如等距横线、网格状噪点）会成为 OCR 模型的定位锚点，不是“越乱越安全”。
立即学习“PHP免费学习笔记（深入）”；
- 干扰线控制在 3–6 条，用
imageline()随机起止点，颜色接近背景但略深（如背景rgb(240,240,240)，线用rgb(200,200,200)） - 噪点建议 20–40 个，用
imagesetpixel()，坐标完全随机，颜色与文字色一致或略浅，避免形成高对比边缘 - 别在文字正上方堆叠噪点——这会让字符断裂，人眼难读，但 CNN 模型反而更容易切分单字
session_start() 调用位置和 header 冲突怎么避
session_start() 必须在任何输出（包括空格、BOM、echo、HTML 标签）之前调用，否则图像会损坏成“红色叉”或乱码。
- 验证码脚本（如
captcha.php）开头第一行就该是<?php session_start(); - 禁止在
session_start()前包含带 BOM 的 UTF-8 文件（尤其 Windows 编辑器保存的 .php） - 输出图像前，确认没意外触发 warning（如未定义变量、
imagettftext()字体路径错），这些 warning 会提前输出文本，破坏二进制流 - 最稳妥做法：在
header('Content-Type: image/png')后加一句ob_clean();清空可能存在的缓冲区残留
验证码字符串为什么不能用 rand() 直接拼数字
rand(0, 9999) 生成的是 0–9999 的整数，转字符串后会出现 '0'、'00'、'012' 这类不足 4 位的情况，导致比对失败。
- 正确做法是用
str_pad(rand(0, 9999), 4, '0', STR_PAD_LEFT) - 更推荐从字符池中抽选：
$chars = '23456789ABCDEFGHJKLMNPQRSTUVWXYZ';，避开易混淆字符0/O/I/l - 存入 Session 前务必用
strtolower()或strtoupper()统一大小写，避免前端输入大小写不敏感却服务端严格比对
复杂点在于干扰强度和可读性的平衡——加少了机器能扫，加多了用户看不清。真正卡住多数爬虫的，从来不是“最花哨”的验证码，而是那几条刚好打断字符连笔、又不遮挡主干的浅色干扰线。
