PHP生成动态验证码需先确认GD扩展启用，再创建真彩色画布、添加干扰元素、写入混淆字符，设置防缓存响应头输出PNG图像，并通过Session存储与校验验证码值。
PHP使用GD库生成动态验证码图片，核心在于创建画布、绘制干扰元素、写入随机字符、输出图像并设置响应头。关键要确保服务器已启用GD扩展，且注意字符混淆与安全性平衡。
确认GD扩展已启用
在生成验证码前，先验证GD库是否可用：
- 运行 phpinfo() 查看是否有 GD Support 显示为 enabled
- 或在代码中检查：if (!extension_loaded('gd')) { die('GD library is not available'); }
- 常见缺失情况：Linux下未安装 php-gd 包，Windows需确认 php.ini 中 extension=gd 已取消注释
生成带干扰的验证码图像
避免简单纯文本截图，加入噪点、线条和背景色差提升防识别能力：
- 用 imagecreatetruecolor() 创建指定宽高的真彩色画布（如 120×40）
- 分配前景色（文字）、背景色、干扰色，例如：$bg = imagecolorallocate($img, 245, 245, 245);
- 用 imagefilledrectangle() 填充背景，再用 imagesetpixel() 或 imageline() 添加随机噪点和干扰线
- 生成4–6位随机字符串（建议含大小写字母+数字，避开易混字符如 0/O/l/1）
正确输出图像并防止缓存
浏览器缓存会导致验证码不刷新，必须控制HTTP头：
立即学习“PHP免费学习笔记（深入）”；
- 调用 header('Content-Type: image/png'); 告知浏览器返回PNG图像
- 添加防缓存头：header('Cache-Control: no-store, no-cache, must-revalidate, max-age=0');
同时设置 Expires 和 Pragma - 使用 imagepng($img); 输出图像后，务必调用 imagedestroy($img); 释放内存
- 不要在验证码脚本中输出任何额外空格或HTML，否则图像会损坏
配合Session实现校验逻辑
验证码价值在于服务端比对，需结合Session保存真实值：
- 生成验证码字符串后，立即存入 $_SESSION['captcha'] = strtolower($code);
- 前端表单提交时，将用户输入的验证码通过POST传回，与Session中值比对（注意忽略大小写）
- 比对完成后，建议立即 unset($_SESSION['captcha']); 防止重复使用
- 可增加过期时间控制，例如记录生成时间戳，5分钟后失效
