PHP生成验证码Base64需三步：创建图像→绘制文字/干扰线→base64_encode()捕获PNG流；必须ob_start()开头、ob_end_clean()收尾，严格控制缓存头、避免空白字符、释放GD资源，否则导致乱码或内存溢出。
PHP生成验证码图片并直接输出Base64
不需要保存文件、不走临时路径，直接把验证码图片转成 data:image/png;base64,... 字符串返回给前端——这是最轻量的前后端联调方式，但容易卡在图像资源未释放或 MIME 类型错配上。
核心是三步：创建图像资源 → 绘制文字/干扰线 → 用 base64_encode() + ob_get_contents() 捕获 PNG 二进制流。不能用 imagepng($im, $filename) 写磁盘，也不能漏掉 ob_start() 和 ob_end_clean()。
- 必须在
imagepng($im)前调用ob_start()，否则输出缓冲为空 - 绘制文字前务必用
imagecolorallocate()分配颜色，否则imagestring()会失败且无报错 - 字体文件路径要绝对（如
__DIR__ . '/arial.ttf'），相对路径在 CLI 或某些 SAPI 下会失效 - 如果返回的 Base64 在前端显示为破损图，大概率是开头多了空白字符，检查
ob_get_contents()前有没有 echo、var_dump 或 BOM
防止验证码被缓存导致重复使用
浏览器或代理可能缓存 Base64 图片字符串（尤其在 AJAX 轮询时），导致用户看到旧验证码。这不是 Base64 的问题，而是 HTTP 层没控制好。
- 在输出 Base64 前加响应头：
header('Cache-Control: no-store, no-cache, must-revalidate, max-age=0'); - 不要依赖前端加时间戳参数（如
?t=123），后端必须主动禁用缓存 - 若用
file_get_contents()或 cURL 请求该 PHP 脚本，也要注意客户端是否缓存了响应体
验证码文字扭曲和干扰线的实际效果取舍
用 imagettftext() 配合随机角度、字号、位移能提升识别难度，但过度扭曲会导致 PHP 自带 GD 库渲染失败（尤其是中文或小字号），反而返回空图。
立即学习“PHP免费学习笔记（深入）”；
- 推荐只对每个字符单独调用一次
imagettftext()，x 坐标随机偏移 ±5px，角度控制在 -10° ~ +10° - 避免用
imagearc()画密集干扰弧线——GD 渲染慢，且在低内存限制下（如 16M）易触发Allowed memory size exhausted - 背景色建议用浅灰（如
0xf0f0f0）而非纯白，减少 OCR 识别准确率，又不影响人眼辨识
Base64 字符串长度超限引发的前端截断
一个 120×40 的 PNG 验证码，Base64 后约 8–10KB；若加入噪点、多色、字体描边，很容易突破 16KB。部分老版本 iOS WebView 或 IE 对 data: URL 长度有限制（IE ≤ 32KB，iOS Safari ≤ 2MB 但实际 1MB 就开始不稳定）。
- 用
strlen($base64_str)检查长度，超过 12KB 可降级为普通 PNG 输出（header('Content-Type: image/png')） - 别用
chunk_split()处理 Base64，它加换行符会导致 data URL 解析失败 - 前端 JS 接收时，确保用
responseType: 'text'（不是 'json'），否则 fetch 会尝试解析失败
真正麻烦的不是生成 Base64，而是 GD 资源没释放干净时，连续请求几次就内存溢出；还有就是开发环境开了 display_errors，错误信息混进 Base64 流里，前端看到的就是一片乱码图。
