ThinkPHP验证码仅作人机识别，防爆破需配合Redis频控、IP限制与失败计数；必须即时销毁、绑定IP/会话、登录成功后清计数；验证码有效期应缩至120–300秒，禁用纯数字，启用大小写混合；Token校验须置于验证码之后、密码之前。
ThinkPHP 的验证码本身不防暴力破解，它只负责“人机识别”。真正起账户级防护作用的，是服务端配合的频控策略、IP 限制、失败计数与及时清理机制。单靠验证码图像再复杂，也挡不住人工轮询或 OCR 批量识别。
验证码不是登录防火墙，而是第一道过滤网
验证码的核心价值在于区分操作者是否为真人，而非控制请求频率。攻击者用打码平台、OCR 工具或人工代理池时，验证码形同虚设。因此：
- 不能把“加了验证码”等同于“防住了爆破”
- 必须搭配 Redis 按 IP 或用户名做失败计数（如 key = login:fail:{ip}）
- 超限后直接返回 403，跳过密码校验、跳过验证码验证环节
- 前端刷新验证码的 onclick 行为，需同步触发新 key 生成，避免复用旧图
服务端必须做三件事：即时销毁、绑定上下文、提前清零
很多系统验证码失效慢、被重放、输对还锁号，问题就出在这三个动作没做实：
- 验证后立即销毁：无论对错，check() 执行完就要 reset() 或 unset session 中的 code 值，防止多次提交重放
- 绑定真实 IP 或会话：默认 captcha 不绑定 IP，需手动传参 ['ip' => $realIp] 并重写 buildImage()，否则一个验证码可被多个 IP 共用
- 登录成功后立刻清计数：不是在 return 前清，而是在 session 写入、token 生成后马上 DEL login:fail:{$username}，避免网络抖动导致用户输对却被锁
增强干扰 ≠ 提升安全，关键在使用逻辑
开启 useNoise、useCurve、加大 fontSize 确实能提高 OCR 识别门槛，但若验证码有效期设为 3600 秒、又没做 IP 隔离，攻击者仍有充足时间批量识别。更有效的做法是：
立即学习“PHP免费学习笔记（深入）”；
- 将 expire 缩短至 120–300 秒，配合前端倒计时提示
- 前 2 次失败不强制验证码，第 3 次开始弹出并绑定当前 IP
- 高频 IP（如 1 分钟内 5 次）直接返回「请完成验证码」，不给密码校验机会
- 禁用纯数字验证码，启用大小写字母 + 数字混合，长度 ≥ 5
Token 防重复提交要避开登录流程陷阱
ThinkPHP 的 {__token__} 能防手抖连点，但在登录场景容易误伤：
- GET 登录页时 session 尚未建立，需手动调用 token() 生成初始 token
- 登录失败后不能保留 token 字段，否则第二次提交因 token 失效被拦截
- 登录成功写入 session('manager_info', $info) 后，必须紧跟 token(false) 清除，避免登出再进登录页报 404
- token 校验应放在验证码 check() 之后、密码校验之前，形成完整链路
