验证码校验失败主因是大小写敏感比较，应使用strcasecmp()函数实现安全比对，并在生成时限定字符池为纯小写或大写，同时验证后立即unset session键以确保一次性使用。
验证码校验失败，八成是 === 或 == 直接比了原始字符串——PHP 默认区分大小写，"AbC" 和 "abc" 就是不相等。
用 strcasecmp() 最省事
这是 PHP 原生支持的二进制安全、区域设置无关的大小写不敏感比较函数，不用预处理，一行搞定。
- 它返回 0 表示两个字符串内容相同（忽略大小写），非 0 表示不同
- 比
strtolower($a) === strtolower($b)少两次函数调用，性能略好 - 对 ASCII 字符完全可靠；多字节字符（如中文、日文）也安全，只要编码一致（UTF-8 下没问题）
- 别用
stricmp()—— 它是 Windows 特供别名，跨平台项目里容易出问题
示例：if (strcasecmp($_POST['captcha'], $_SESSION['captcha_code']) === 0) { /* 通过 */ }
生成时就限定小写/大写字符池
与其在比对时转换，不如从源头消除大小写歧义：生成验证码时只用小写字母或只用大写字母。
立即学习“PHP免费学习笔记（深入）”；
- 修改字符集字符串，比如去掉
A-Z只留a-z0-9，或反过来 - 这样用户输
"ABC1"和服务器存的"abc1"天然就不匹配——但你根本不需要处理这种 case，因为用户输啥都得按你给的格式来 - 前端可加 placeholder 提示 “请输入小写字母和数字”，降低用户困惑
- 注意：如果已有历史验证码逻辑依赖大小写混合，改字符池需同步更新所有生成点，否则 session 存的是混合串，新逻辑比对会失败
strtolower() 比较要小心 mbstring 扩展缺失
如果你的环境没启用 mbstring，又碰上用户用中文输入法误触 CapsLock 输了全角大写字母（如「ＡＢＣ」），strtolower() 会原样返回，导致比对失败。
- 全角字符不是 ASCII，
strtolower()对它们无效；mb_strtolower($s, 'UTF-8')才能正确处理 - 但验证码本身不该出现全角字符——生成时用的字符集是明确的 ASCII 字母数字，所以真正风险在于用户粘贴错乱文本
- 更务实的做法：校验前先用正则剔除非 ASCII 字母数字，比如
preg_replace('/[^a-zA-Z0-9]/', '', $input)，再统一转小写 - 别依赖
mb_strtolower()单独解决，它不能修复非法输入，只是补救手段
session 值读取后立即清空是硬性要求
无论用哪种比对方式，只要验证码已参与验证，就必须立刻 unset 或 destroy 对应 session 键。
- 否则攻击者可重复提交同一组正确输入，绕过“一次性”设计
- 典型错误写法：
if (xxx) { $_SESSION['captcha_code'] = null; }—— 这没清掉键，isset($_SESSION['captcha_code'])仍为 true - 正确做法：
unset($_SESSION['captcha_code']);或$_SESSION['captcha_code'] = null; session_regenerate_id(true); - 如果用了 Redis 等外部 session 存储，还要确认驱动是否支持原子清除
大小写不敏感只是表层问题；真正的坑藏在 session 生命周期管理、输入清洗和字符集边界里——比对逻辑写对了，不代表验证码就安全了。
