ThinkPHP5验证码跨平台部署需四步：一装对扩展版本并运行php think captcha:install；二启用可写Session；三配置Web服务器URL重写支持/captcha.html路由；四前端调用带防缓存刷新。
ThinkPHP5验证码在Windows和Linux上都能跑，但细节差异不小。核心问题不在框架本身，而在于环境依赖、路径权限、Session机制和URL重写支持是否到位。跨平台部署不是“一套配置打天下”，而是分系统查漏补缺。
一、先装对扩展，版本必须匹配
TP5.0只能用 think-captcha=1.*，TP5.1起用 =2.*，TP6/8用最新版即可。装错版本会直接报类不存在或方法签名不匹配。
- Windows：CMD进项目根目录，执行
composer require topthink/think-captcha=1.*（TP5.0） - Linux：终端同样位置，执行相同命令；若因网络慢，先运行
composer config -g repo.packagist composer https://packagist.laravel-china.org切国内镜像 - 装完必须运行
php think captcha:install，生成config/captcha.php和public/static/captcha/资源目录
二、Session必须启用且可写
验证码值靠Session存储，Session没启动或无法写入，前端显示空白图、后端校验永远失败。
- 确认
config/app.php中'middleware' => [..., \think\middleware\SessionInit::class]已启用 - Windows下检查
php.ini的session.save_path指向有效目录（如C:\php\tmp），并确保IIS/Apache有该目录写权限 - Linux下检查
session.save_path（常见为/var/lib/php/sessions），执行sudo chown -R www-data:www-data /var/lib/php/sessions（Ubuntu）或apache:apache（CentOS） - 临时验证：在控制器里加
session('test', 'ok'); dump(session('test'));，能输出即Session正常
三、Web服务器要支持重写与PHP解析
验证码图片地址如 /captcha.html 或 /index.php/captcha，本质是路由转发，依赖URL重写和PHP脚本执行能力。
立即学习“PHP免费学习笔记（深入）”；
- Windows Apache：确认
httpd.conf已开启LoadModule rewrite_module modules/mod_rewrite.so，且对应<Directory>块中AllowOverride All - Windows Nginx：在
server块内添加location /captcha.html { try_files $uri $uri/ /index.php?$query_string; } - Linux Apache（Ubuntu）：运行
sudo a2enmod rewrite，再检查虚拟主机配置中AllowOverride All - Linux Nginx（CentOS）：确保
location ~ \.php$正确指向php-fpmsocket，并添加location ^~ /captcha.html { try_files $uri $uri/ /index.php?$query_string; }
四、前端调用与刷新逻辑要一致
模板里用 {:captcha_img()} 或 <img src="{:url('captcha')}">，点击刷新时必须带时间戳防缓存。
- 推荐写法：
<img id="verify-img" src="{:captcha_src()}" onclick="this.src='{:captcha_src()}?'+Math.random()"> - Linux下注意：如果使用伪静态隐藏入口文件，
.htaccess或 Nginx rewrite 规则需放行captcha.html请求，避免被误判为静态资源404 - Windows IIS用户：需额外配置
web.config，添加<rule name="Captcha" stopProcessing="true"><match url="^captcha\.html$" /><action type="Rewrite" url="index.php/captcha" /></rule>
不复杂但容易忽略。把扩展装对、Session写通、重写配准、前端刷活，四个环节串起来，验证码就能稳稳跑在两个系统上。
