PHP生成随机字符串不能用rand()，因其基于线性同余算法、可预测且分布不均；应使用random_int()配合显式字符集（如'23456789ABCDEFGHJKLMNPQRSTUVWXYZabcdefghijkmnpqrstuvwxyz'）确保密码学安全与均匀分布。
PHP生成随机字符串为什么不能用 rand() 直接拼接
因为 rand() 在 PHP 7.1+ 已被标记为不推荐，且它基于线性同余算法，种子固定时输出可预测；更关键的是，直接用 rand(0, 9) 或 chr(rand(65,90)) 拼字符串，会导致字符分布不均——比如 ASCII 范围跨大小写字母和数字时，某些字符出现概率天然偏高，验证码易被暴力枚举。
实操建议：
- 必须用
random_int()（PHP 7+）或openssl_random_pseudo_bytes()（兼容 PHP 5.3+）作为熵源 - 字符集要显式定义，避免依赖 ASCII 连续性（如不要写
range('a', 'z')，改用字符串字面量） - 长度必须由调用方控制，不可硬编码；若用于验证码，建议 4–6 位，过长反而增加用户输入错误率
安全验证码生成函数该怎么写（含大小写字母+数字）
下面是一个最小可用、无依赖、防时序攻击的实现：
<?php
function generate_code($length = 4): string {
$chars = '23456789ABCDEFGHJKLMNPQRSTUVWXYZabcdefghijkmnpqrstuvwxyz';
$max = strlen($chars) - 1;
$code = '';
for ($i = 0; $i < $length; $i++) {
$code .= $chars[random_int(0, $max)];
}
return $code;
}
?>说明：
立即学习“PHP免费学习笔记（深入）”；
- 字符集剔除了易混淆字符：0/O/o、1/l/I，降低用户识别错误
- 用
random_int()确保 CSPRNG 级别随机性，不依赖系统时间或 PID - 不用
str_shuffle()—— 它内部调用rand()，PHP 8.2 已明确标注为“不适合密码学用途” - 不使用
base64_encode(random_bytes())—— 会引入+、/、=，不适合纯文本验证码场景
生成图形验证码时字体文件路径和 GD 扩展常见报错
调用 imagettftext() 报 Could not find/open font，不是路径写错，而是：
- PHP 进程用户（如 www-data）对字体文件无读取权限，用
ls -l /path/to/font.ttf确认 - 字体路径是相对路径时，实际工作目录是 Web 服务器启动路径，不是脚本所在目录；务必用
__DIR__ . '/font.ttf' - GD 扩展未启用或缺少 FreeType 支持（Ubuntu 上需装
libfreetype6-dev并重编译 GD） - 中文验证码慎用：多数默认字体不支持 UTF-8 中文，强行传入会返回空图像；如需中文，得指定 Noto Sans CJK 或思源黑体等全字符集字体
为什么 session 验证码比 cookie 更可靠
把验证码存进 $_SESSION['captcha'] 是标准做法，原因很实在：
- Cookie 可被客户端篡改、重放；而 session 数据存在服务端，用户只持有加密 session_id
- 验证码必须一次性使用：验证后立即用
unset($_SESSION['captcha'])或$_SESSION['captcha'] = null清除，否则同一码可重复提交 - 不要用
$_COOKIE存验证码值——哪怕加了httpOnly，也无法防止中间人重放请求 - 若用 Redis 做 session 后端，注意设置合理过期时间（如 300 秒），避免爆内存；原生 file session 默认 1440 秒，通常够用
真正难处理的是并发刷新：用户快速点两次“换一张”，可能造成 session 写覆盖，导致前端显示的图和后端存储的码不一致。解决方法是每次生成新码时，同步更新 session 并返回新 ID（比如用 session_regenerate_id(true)），但前提是前端能接收并替换 image src 的参数。
