ThinkPHP6验证码本身无防破解能力，需通过启用useNoise/useCurve干扰、设120–300秒过期、Redis替代Session存储、绑定IP/账号限频及Referer校验等组合策略提升安全性。
ThinkPHP6 的验证码本身不自带“防破解”能力，它只是生成和校验图像文本的工具。真正起防护作用的是你如何配置、部署和配合其他机制使用它。实测中发现，未经调整的默认配置在面对简单 OCR 或暴力请求时很容易被绕过；但合理组合干扰策略、时效控制与后端限制后，可显著提升攻击成本。
增强图形混淆：让机器更难识别
默认的验证码图片太“干净”，容易被开源 OCR 工具（如 tesseract）识别。关键不是加得越多越好，而是选对干扰类型：
- 启用噪点（useNoise）和曲线（useCurve）：这两项是基础防线，能有效干扰字符连通性，大幅降低 OCR 准确率；
- 字体大小建议设为 25–30px：过小易模糊，过大则留白多、特征明显；
-
禁用纯数字或固定字符集：配置
codeSet加入大小写字母（避开易混淆的 0/O、1/l），例如：'23456789abcdefghjkmnpqrstuvwxyzABCDEFGHJKMNPQRSTUVWXYZ'； - 避免使用背景图（useImgBg=false）：自定义背景图若对比度低或纹理规则，反而会成为 OCR 的定位锚点。
时效与状态管控：切断重放和爆破路径
验证码失效慢、不限尝试次数，等于给攻击者无限试错机会。实测中，以下设置组合最有效：
- 过期时间设为 120–300 秒：太短影响用户体验，太长增加风险窗口；
- 每次生成新验证码时清空旧缓存/Session：防止同一 ID 多次复用；
- 单 IP 或账号 5 分钟内最多 5 次失败尝试：用 Redis 记录失败记录，超限后直接返回“请稍后再试”，不校验也不提示是否验证码错；
-
校验成功后立即调用
reset()或删除缓存键：避免一次通过多次提交。
前后端分离场景下的安全适配
传统 Session 验证在跨域前端（Vue/React）下会失效——因为 Cookie 不共享。实测可行方案是绕过 Session，改用缓存 + 唯一标识：
立即学习“PHP免费学习笔记（深入）”；
- 生成验证码时，用随机字符串作为 key（如 md5(uniqid())）存入 Redis，值为明文验证码 + 过期时间；
-
接口返回该 key 和 Base64 图片数据（非 URL），前端直接渲染
<img src="data:image/png;base64,...">； - 表单提交时，同时传 key 和用户输入值，后端仅查该 key 对应的缓存进行比对；
- 整个流程不依赖 Cookie 或 Session，规避跨域限制，也避免前端意外暴露 session_id。
配合行为层做二次过滤
图形验证码只是第一道门，不能单独扛住批量攻击。实测中叠加以下轻量策略，拦截率明显上升：
- 登录接口加 Referer 校验：只允许来自你域名的请求，拦截站外脚本直调；
- 高频请求自动触发滑动/点选类验证码：用第三方服务（如极验）或自研轻量逻辑，在异常频率时降级；
- 验证码提交与用户名/手机号绑定校验：比如同一手机号 1 小时内最多触发 3 次验证码，超限锁 15 分钟；
- 日志记录失败来源 IP、User-Agent、请求间隔：用于后续分析攻击模式，动态调整风控阈值。
不复杂但容易忽略：验证码的安全性不取决于它“画得多花”，而在于它是否被正确嵌入业务生命周期里——从生成、传输、存储到销毁，每个环节都有可加固的细节。
