根本原因是负载均衡导致Session未同步：验证码写入A服务器文件Session，校验却落到B服务器，而默认PHP文件型Session各自独立；需改用Redis驱动并确保多节点共享同一实例。
验证码总提示“错误”但输入明明正确
根本原因是负载均衡把同一用户的多次请求分发到不同服务器，而默认的 PHP 文件型 session 存在各自独立的存储路径，verify_code 写入 A 机、校验却落到 B 机，自然读不到。不是验证码逻辑错，是 Session 根本没同步。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 确认当前 Session 驱动：检查
config/session.php中type值是否为'file'（默认） - 强制改用 Redis 驱动：设置
type为'redis'，并填好host、port、password（如有） - 确保所有后端节点连接的是同一个 Redis 实例，且该实例可被全部机器访问（网络连通 + 权限开放）
- 别漏掉
session_prefix配置：多个项目共用 Redis 时，必须设不同前缀，比如'thinkphp_captcha_'，否则 Session 键名冲突
ThinkPHP 6 的 CaptchaService 不读 Redis Session
TP6 把验证码逻辑抽成独立服务，默认仍走原生 $_SESSION，而 Redis 驱动的 Session 是通过 think\session\driver\Redis 注入的，并不自动覆盖全局 $_SESSION 行为 —— 导致 CaptchaService 写入和读取的仍是本地文件 Session。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 禁用
CaptchaService的自动 Session 绑定：实例化时传入['useSession' => false] - 手动管理验证码值：生成时存进
session()->set('captcha_code', $code)，校验时用session()->get('captcha_code') - 注意大小写：默认生成的验证码是小写，但用户输入常含大写，比对前统一转小写，比如
strtolower($input) === strtolower(session()->get('captcha_code')) - 校验后立即清除：避免重复使用，调用
session()->delete('captcha_code')
Redis 连接失败导致验证码页面空白或 500
一旦 Redis 不可用，TP6 的 Redis Session 驱动会直接抛出 think\exception\ErrorException，而验证码路由又常被设为不经过完整中间件栈（比如放在 app/middleware.php 的全局中间件之外），错误无法被捕获，最终返回空响应或 500。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 加一层 Redis 可用性兜底：在
config/session.php中配置'failover' => true（TP6.1+ 支持），允许降级为file驱动 - 更稳妥的做法是自定义 Session 初始化：在
app/common.php或中间件中，用try/catch包裹session()调用，捕获RedisException后切回内存驱动（type => 'array'） - 别在验证码接口里做耗时 Redis 操作：比如生成时顺带写日志到 Redis，这会放大超时风险
移动端或微信 WebView 下验证码频繁失效
这类环境常禁用 Cookie 或对 Third-Party Cookie 限制严格，导致 Session ID 无法持久传递；即使用了 Redis，PHPSESSID 丢了，照样找不到对应记录。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 检查
session.cookie_httponly和session.cookie_secure配置：微信内嵌浏览器不支持Secure（需 HTTPS），若部署在 HTTP 环境却开了它，Cookie 直接被丢弃 - 强制 URL 透传 Session ID：启用
session.use_trans_sid = 1（慎用），或在验证码图片 URL 后手动拼?PHPSESSID=xxx（需前端配合） - 更推荐方案：改用无状态验证码，比如基于时间戳 + 签名的 Token 方式，绕过 Session 依赖（TP 官方扩展
topthink/think-captchav3+ 已支持token模式）
Session 同步只是表象，真正卡住人的往往是 Redis 权限、网络策略、TP 版本差异带来的驱动行为变化，还有那些没打日志就静默失败的中间环节。
