不能直接缓存验证码图片到本地用于验证，因为校验依赖明文字符而非图片；必须将Captcha::create()返回的code值配合唯一key存入Redis等缓存系统，前端提交时携带该key与用户输入，后端通过key取明文比对。
不能直接“缓存验证码图片到本地”用于后续验证——验证码图片是展示用的，真正要持久化保存的是它的明文值（如 "a7F2"），且必须配合唯一 key 存入缓存系统（如 Redis、File、Memcached），而非把 PNG/JPG 文件当凭证存盘。
为什么不能只保存图片文件？
验证码校验的本质是比对用户输入与服务端生成的原始字符。图片只是载体，本身不含可解析的可靠文本信息（OCR 不稳定、易被干扰、非设计目标）。ThinkPHP8 的 Captcha::create() 返回的 $imgObj["img"] 是 base64 编码的图片字符串（如 "data:image/png;base64,iVBORw..."），它不包含验证码明文，也无法反向提取出准确字符。
- 你保存下来的 PNG 文件，对后端验证流程毫无作用
- 若试图用 OCR 读取该图再比对，属于绕过设计、引入不可靠环节，且违反一次性原则（缓存未清除，OCR 可能多次识别）
- 攻击者下载图片后离线爆破，反而降低安全性
正确做法：缓存明文 + 前端传 key
ThinkPHP8 在 API 模式下已明确要求将验证码明文存入缓存，并返回一个临时 key 给前端。这个 key 才是你“关联图片和答案”的唯一桥梁。
- 调用
Captcha::create()后，从返回数组中取$imgObj["code"]（明文），不是$imgObj["img"] - 用唯一 key（如
"captcha_".Uuid::uuid4()）存入缓存，有效期建议 5 分钟：cache($key, $imgObj["code"], 300) - 前端提交表单时，必须同时携带该 key（如
ruleForm.captchaKey）和用户输入（ruleForm.captcha） - 后端验证时，仅通过
cache($key)取值，不读文件、不解析图片
如果真要落盘图片文件（仅限调试/归档）
仅在开发调试、审计留痕等极少数场景下，才需要把 base64 图片转为物理文件。注意：这和验证逻辑完全解耦，不能替代缓存明文。
立即学习“PHP免费学习笔记（深入）”；
- 先剥离 data URL 前缀：
$base64 = str_replace('data:image/png;base64,', '', $imgObj["img"]) - 解码并写入：
file_put_contents('/path/to/captcha_'.uniqid().'.png', base64_decode($base64)) - 路径需确保 Web 服务器有写权限，且目录不在 Webroot 下（避免被直接访问）
- 不要用时间戳命名（并发时可能重名），务必用
uniqid()或 UUID
容易忽略的关键点
很多人卡在「验证码总提示错误」，根本原因往往不是图片保存位置，而是：
- 缓存驱动配置错误（如
config/cache.php中默认是file，但生产环境应切到redis） - 没关掉大小写敏感：
strtolower(cache($key)) === strtolower($input)必须做 - 验证成功后忘记
cache($key, null)或Cache::delete($key)，导致 key 复用 - 前端把
captchaKey存成了 localstorage 而非随表单提交，后端收不到
图片文件只是副产品；key 和明文的原子性绑定，才是验证码能用起来的命脉。
