PHP复合型人机验证需融合图形验证码与行为式验证：GD库或ImageMagick生成高干扰图片并存入Session，同时集成易盾SDK分析滑动轨迹等交互特征，双因子动态校验，兼顾安全与体验。
如果您在PHP网站中需要同时抵御自动化脚本提交与高级爬虫行为，则需构建复合型人机验证机制。图形验证码可阻断基础OCR识别攻击，行为式验证码则通过用户交互特征（如滑动轨迹、点击时序、鼠标移动熵值）判断真实性。以下是实现该双层验证体系的多种技术路径：
一、GD库手动构建高干扰图形验证码
该方法完全自主控制图像生成逻辑，适用于对样式、安全强度及兼容性有定制化要求的场景，无需第三方依赖，直接利用PHP内置GD扩展完成全部绘制流程。
1、确认GD扩展已启用：执行extension_loaded('gd')返回true，否则需在php.ini中启用extension=gd并重启Web服务。
2、启动会话并生成4位防混淆字符串：调用session_start()，从字符集'ABCDEFGHJKLMNPQRSTUVWXYZabcdefghjkmnpqrstuvwxyz23456789'中随机抽取，排除0/O/I/l等易误识字符。
立即学习“PHP免费学习笔记（深入）”；
3、创建真彩色画布：使用imagecreatetruecolor(200, 60)初始化尺寸，避免使用imagecreate()导致的调色板色深限制。
4、分配背景与文字色：用imagecolorallocate()分别设置浅灰背景（rgb:242,242,242）与深灰文字（rgb:51,51,51），再以imagefill()填充整个画布。
5、逐字符绘制并施加扰动：对每个字符调用imagettftext()，指定TTF字体路径，加入±8度旋转、x方向±3像素偏移、y方向±2像素浮动。
6、注入多层干扰：循环绘制6–10条rgb(200,200,200)色干扰线；调用imagesetpixel()随机散布40–70个噪点；最后叠加2–3个半透明椭圆遮罩层。
7、输出并销毁资源：设置header('Content-Type: image/png')，调用imagepng($image)输出，执行imagedestroy($image)释放内存。
8、安全存储至Session：将明文验证码存入$_SESSION['captcha_code']，并立即设置有效期：ini_set('session.gc_maxlifetime', 300)（5分钟）。
二、集成Gregwar/Captcha类库实现链式配置
该方案封装了GD底层操作细节，提供流式API，自动处理字体加载、扭曲变形、Session绑定与资源清理，显著降低开发错误率与维护成本。
1、通过Composer安装：执行composer require gregwar/captcha，确保项目已初始化Composer环境。
2、引入自动加载器：在脚本顶部添加require 'vendor/autoload.php';，确保命名空间正确解析。
3、实例化构建器：声明$builder = new \Gregwar\Captcha\CaptchaBuilder();，启用命名空间前缀。
4、配置抗识别参数：调用$builder->setLength(4)设定字符数，$builder->setDistortion(true)开启正弦扭曲，$builder->setInterpolation(true)启用双线性插值增强模糊效果。
5、绑定Session并生成：执行$builder->build()完成图像构建，随后写入$_SESSION['captcha'] = $builder->getPhrase();。
6、输出JPEG格式图像：设置header('Content-Type: image/jpeg')，调用$builder->output()直接输出，无需手动销毁资源。
三、对接网易易盾行为式验证码SDK
该方式不生成传统图片，而是嵌入前端JavaScript SDK，由云端风险感知引擎实时分析用户操作行为（如滑动轨迹加速度、鼠标悬停时间分布、触屏压力变化），动态判定人机身份，适合高安全等级业务场景。
1、注册易盾控制台并创建应用：获取captchaId与secretKey，确认已开通行为式验证码服务。
2、在表单页面引入SDK：插入<script src="https://c.dun.163.com/js/verify.js"></script>，确保HTTPS协议加载。
3、初始化验证组件：调用new NVC.NVC({captchaId: 'your_captchaId', timeout: 3000})，传入超时阈值与回调函数。
4、监听验证成功事件：在success回调中提取token与code，通过AJAX POST至PHP后端校验接口。
5、服务端发起验签请求：使用curl向https://c.dun.163.com/api/v1/check提交captchaId、token、code及secretKey签名，接收JSON响应中的result字段。
6、解析响应结果：若result为1且data.result为pass，视为人机验证通过，允许后续业务逻辑执行。
四、混合部署图形+行为双因子验证流程
此架构在用户首次访问或风险等级升高时触发行为验证，常规请求仍走轻量图形验证码，兼顾安全性与用户体验，形成梯度防御策略。
1、定义风险判定规则：在入口脚本中检查$_SERVER['HTTP_USER_AGENT']是否含爬虫标识、IP是否在黑名单、请求频率是否超阈值（如60秒内≥5次）。
2、动态选择验证类型：若满足任一高风险条件，则渲染易盾行为验证组件；否则加载GD生成的图形验证码图片。
3、统一验证入口：所有验证结果（图形验证码明文或行为验证token）均提交至同一PHP校验脚本verify.php。
4、校验逻辑分支处理：在verify.php中先检测是否存在$_POST['nvc_token']，有则调用易盾API；否则比对$_POST['captcha_input']与$_SESSION['captcha_code']。
5、验证后即时清除凭证：无论成功与否，执行unset($_SESSION['captcha_code'])或session_destroy()，防止重放攻击。
6、记录验证日志：将IP、User-Agent、验证类型、结果、时间戳写入/var/log/captcha.log，供安全审计使用。
五、使用ImageMagick实现高安全图像生成
该方法基于系统级图像处理引擎，支持更复杂的滤镜组合（如高斯模糊、径向畸变、色彩抖动），可有效对抗深度学习OCR模型，适用于金融、政务等强合规要求场景。
1、确认ImageMagick已安装并启用PHP扩展：运行exec('convert -version')验证CLI可用性，启用extension=imagick并重启PHP-FPM。
2、初始化Imagick对象：声明$im = new Imagick();，设置图像密度$im->setResolution(120, 120)提升清晰度。
3、创建背景图层：调用$im->newImage(200, 60, new ImagickPixel('#f2f2f2'))生成底图。
4、添加文字并施加变形：使用ImagickDraw对象设置字体、大小、颜色，调用setTextAntialias(true)启用抗锯齿，再执行rotate()与skewX()模拟手写倾斜。
5、叠加多重滤镜：依次应用blurImage(1, 0.5)、radialBlurImage(3)、charcoalImage(1.5)增强不可读性。
6、合成干扰图层：生成独立噪点图层（noiseImage(Imagick::NOISE_GAUSSIAN)），以50%透明度compositeImage()叠加到底图。
7、输出PNG流：设置header('Content-Type: image/png')，调用echo $im->getImageBlob()输出二进制数据，最后$im->clear(); $im->destroy();释放资源。
