验证码Session过期应手动记录时间戳并校验，而非依赖gc_maxlifetime；推荐120–300秒窗口，生成时存$_SESSION['captcha_time']=time()，校验前比对time()-$_SESSION['captcha_time']，成功后立即unset。
验证码 session 过期时间怎么设才合理
PHP 字母验证码的过期本质是依赖 $_SESSION 生命周期，不是验证码本身“自带倒计时”。直接改 session.gc_maxlifetime 是最常用也最易出错的方式——很多人设了 300 秒，结果发现验证码 10 分钟还能用，或刚生成就失效。
根本原因：PHP 的 session 垃圾回收是概率触发的，session.gc_probability 和 session.gc_divisor 共同决定是否清理；且浏览器未关闭、session_start() 没被调用、或服务端 session 存储（如 Redis）配置不同步，都会让实际过期延迟或提前。
- 推荐做法：不依赖 GC，**手动记录生成时间戳**，每次校验前比对
$_SESSION['captcha_time']与time() - 典型安全窗口是 120–300 秒，设太长（如 900）会增加暴力重放风险；设太短（如 30）则用户输入慢时频繁刷新，体验差
- 如果用 Redis 存 session，确认
save_handler=redis且redis.session.locking_enabled=1，否则并发请求可能覆盖captcha_time
为什么用 time() 校验比 session_set_cookie_params() 更可靠
session_set_cookie_params() 只控制 Cookie 的 max-age，不影响服务器端 session 数据存活。用户清了 Cookie，但服务端 session 文件/Redis key 还在，$_SESSION 仍可读——这就导致“前端显示过期，后端却能通过校验”的逻辑漏洞。
真正可控的过期判断必须发生在校验环节，且基于服务端可信时间：
立即学习“PHP免费学习笔记（深入）”；
- 生成验证码时存：
$_SESSION['captcha_code'] = 'AbC2'; $_SESSION['captcha_time'] = time(); - 校验时先检查：
if (!isset($_SESSION['captcha_code']) || time() - $_SESSION['captcha_time'] > 180) { /* 失效 */ } - 校验成功后**立刻 unset**：
unset($_SESSION['captcha_code'], $_SESSION['captcha_time']);，避免重复使用
字母验证码被绕过？检查大小写和过滤逻辑
很多“过期无效”问题其实是校验阶段就失败了，比如用户输入 abC2，而服务端用 strtolower() 统一转小写比对，但 session 里存的是原始大写混合值，中间若经过 JSON 编码、trim 或 URL 解码，大小写可能意外丢失。
更隐蔽的问题是 PHP 的 mb_strtolower() 在非 UTF-8 环境下行为异常，或 filter_var($input, FILTER_SANITIZE_STRING)（已废弃）误删字母。
- 生成时明确用
strtoupper()或strtr()控制字符集，例如：strtr(str_shuffle('ABCDEFGHKLMNPQRSTUVWXYZ23456789'), ['O'=>'0', 'I'=>'1']) - 校验时用严格相等
===，且前后都做相同处理：$input = strtoupper(trim($_POST['captcha'])); - 禁用任何自动过滤中间件（如某些框架的全局 input filter），验证码字段应走原始
$_POST
Redis + PHP-FPM 场景下验证码突然批量失效
当使用 Redis 作为 session 存储，且 PHP-FPM 开启 pm=static 或高并发时，容易出现验证码秒级失效。这不是代码 bug，而是 Redis 的 maxmemory-policy 配置为 allkeys-lru 导致低频访问的 session key 被优先淘汰。
尤其当验证码 session key 和其他高频数据混存一个 Redis 实例时，风险更高。
- 验证方法：用
redis-cli keys "*sess*"查看 key 数量，再ttl检查几个随机 session key 的剩余时间 - 修复方式：为 session 单独部署 Redis DB（如 db 1），并在
php.ini中配置session.save_path = "tcp://127.0.0.1:6379?database=1" - 或者改策略为
volatile-lru，并确保所有 session key 都带EX过期（PHP Redis 扩展默认支持）
验证码过期机制真正的复杂点不在时间计算，而在于它横跨了 session 生命周期、存储介质行为、HTTP 请求状态、以及用户输入链路四个层面。任何一个环节没对齐，都会表现为“明明设了 3 分钟，却有时 10 秒就过期，有时 5 分钟还能用”。
