ThinkPHP验证码失效主因是环境配置问题：一、输出缓冲被BOM/空行/warning污染，需ob_clean()清除并保存为UTF-8无BOM；二、Session未启用或session.save_path不可写；三、GD库未启用或字体路径错误。
ThinkPHP部署后验证码失效，多数不是代码写错，而是环境适配和配置细节没到位。常见表现是图片显示为小X、空白、404，或输入正确却提示“验证码错误”。核心问题集中在输出控制、Session、路径与权限三块。
输出缓冲干扰导致图片无法生成
部署时最常见的原因是响应前已有输出（比如BOM头、echo、warning、空行），导致图像头被破坏。GD库生成的验证码必须是纯二进制流，任何前置文本都会让浏览器解析失败。
- 在验证码入口方法开头加 ob_clean() 或 ob_end_clean()，强制清空输出缓冲
- 检查所有被引入的配置文件、公共函数文件是否含UTF-8 BOM；用编辑器另存为“UTF-8 无BOM”格式
- 禁用调试模式（
app_debug => false），避免ThinkPHP自动输出错误信息干扰图像流
Session未启用或存储不可写
验证码校验依赖 Session 存储原始码。TP6默认不自动启动Session，TP5虽自动但易受部署环境影响。
- 确认已启用 Session中间件（TP6需在 middleware.php 中加入
think\middleware\SessionInit::class） - 检查 session.save_path 目录是否存在、可写（Linux下常用
/tmp，Windows下建议设为c:/temp并赋予权限） - 若用 Redis/Memcached 驱动，确保连接正常；若用 File 驱动，确认
runtime/session目录有写权限
验证码配置与路径不匹配
部署后 URL 路由、HTTPS、反代环境常导致图片地址错误或校验失败。
立即学习“PHP免费学习笔记（深入）”；
- TP6 必须手动创建
config/captcha.php，不能缺失；内容至少包含length和useZh - HTTPS站点需显式配置
'url' => '/captcha/refresh'（用相对路径），避免混合内容被拦截 - Nginx 反代时，确保透传
X-Forwarded-Proto和Host头，并检查session.cookie_secure是否与当前协议一致
GD扩展与字体资源缺失
服务器环境差异大，本地能跑不等于线上可用。
- 运行
phpinfo()确认 GD库已启用，且支持png、jpeg输出 - 中文验证码必须提供真实存在的中文字体文件（如
simhei.ttf），路径用__DIR__ . '/../public/fonts/xxx.ttf'绝对引用 - Linux 下注意字体文件权限（
chmod 644），Windows 下推荐使用simsun.ttc或msyh.ttc
