ThinkPHP8验证码“后台隐藏”核心是动态防线：采用唯一ID临时路由、重命名入口文件强耦合校验、Redis加盐加密存储、IP高频熔断、前端混淆+服务端双重校验，彻底阻断自动化攻击路径。
ThinkPHP8 的验证码“后台隐藏”，不是删掉图片或跳过校验，而是让攻击者找不到入口、拿不到有效值、试不了多次、换不了上下文、绕不过服务端——真正把验证环节变成一道动态防线。
动态路由 + 一次性随机ID
固定路径如 /captcha 是扫描器的靶子。改用每次生成唯一标识，绑定临时路由：
- 登录页加载时，控制器生成
$id = md5(uniqid().rand()) - 注册单次有效路由：
Route::get('v/:id', 'Login/captcha')->append(['id' => $id]) - 前端请求
<img src="/v/{$id}">，服务端响应后立即清空该路由或标记失效
这样即使 URL 被截获，也无法复用；没有新 ID，连图都加载不出来。
登录入口强耦合 + 隐形文件名
后台入口不能是公开可猜的 /admin.php 或 /index.php?s=admin：
立即学习“PHP免费学习笔记（深入）”；
- 将后台入口文件重命名为长随机名，例如
adm_K9xR2mQz.php - 该文件开头强制校验 session 中的验证码状态，未通过直接
exit(403) - 同时在配置中开启
'login_captcha' => true，使登录逻辑无法绕过验证
相当于把门锁和钥匙放在同一把锁芯里，没钥匙根本打不开门。
答案存 Redis + 加盐加密
依赖 PHP Session 容易因跨域、多实例、会话劫持失效。换成 Redis 缓存更可控：
- 生成时：
cache('cap_'.$id, encrypt($code, 'your_salt_2026'), 300) - 校验时解密比对，成功后立即
cache('cap_'.$id, null) - 配合
deny_module_list禁止直访 captcha 模块，只允许控制器内调用
既规避 session 共享问题，又防止明文缓存泄露，还能精准控制生命周期。
IP 高频请求自动熔断
一个 IP 5 分钟内请求验证码超过 8 次，大概率是脚本在扫：
- 用 Redis List 记录每次请求时间戳，并设
EXPIRE300 秒 - 请求前先
LLEN统计数量，超限则返回统一空白图或 429 响应 - 前端配合延迟加载（比如点击才触发图片请求），减少无效曝光
不报错、不提示、不暴露逻辑，让自动化工具失去反馈信号。
前端混淆 + 服务端双重校验
避免用户输入的验证码被明文提交，增加一层轻量混淆：
- 前端提交前对输入做简单变换，例如：
btoa(input.split('').reverse().join('')) - 后端接收后先 base64 解码、反转还原，再调用
Captcha::check() - 同时校验请求头是否携带合法
X-Verify-Token（由登录页 JS 动态生成）
两道关卡，一道防抓包重放，一道防接口直刷，缺一不可。
