验证码验证失败主因是大小写不一致、Session未存值或GD输出污染；需统一转小写比对、检查BOM/输出干扰、确认GD扩展启用及session路径权限。
验证码字母验证失败，绝大多数情况不是逻辑写错了，而是大小写不一致、Session没存住、或 GD 输出被污染了——先确认这三点，90% 的问题当场解决。
验证码区分大小写导致验证失败
ThinkPHP 默认生成的验证码（如 captcha 类）是严格区分大小写的，用户输 AbC1，而服务端存的是 aBc1，直接判错。这不是 bug，是默认行为。
- 验证时统一转小写比较：
captcha_check(strtolower(input('post.captcha')))（TP5/6） - 生成时就限制字符集，避免大小写混用：
'codeSet' => '0123456789'或'codeSet' => 'abcdefghijklmnopqrstuvwxyz' - 若必须保留大小写但想忽略校验，需手动干预：取出 Session 中原始值后用
strtolower()处理再比对
Session 中没存到验证码值
前端看到图片，但后端 $_SESSION['captcha']（或 TP 封装的 key）为空，验证必然失败。常见于 GD 图像输出前已有任何输出（空格、BOM、echo、错误警告）。
- 检查验证码生成脚本（如
Captcha.php或verify.php）开头是否有 UTF-8 BOM 或空白行 - 在图像输出前加
ob_clean();和header('Content-Type: image/png');，并确保无其他输出 - 用
var_dump(headers_sent($file, $line));定位哪行提前发了头 - 确认
session_start()已调用（TP 通常自动启动，但自定义路由或 CLI 环境下可能未触发）
GD 扩展缺失或图像函数报错
GD 库没启用，或 imagepng() 执行失败，会导致验证码返回空响应或 500 错误，浏览器显示“破损图片”，但开发者工具里可能只看到 200 + 空内容。
立即学习“PHP免费学习笔记（深入）”；
- 运行
php -m | grep gd确认 GD 已加载；或访问phpinfo()页面搜gd - 检查
php.ini中extension=gd是否启用（注意不是;extension=gd） - 在验证码生成代码末尾加
error_get_last()判断是否发生图像函数错误 - Linux 下若提示
failed to open stream: Permission denied，大概率是session.save_path（如/tmp）不可写
真正棘手的点往往藏在“看似正常”的环节：比如字体文件路径错位导致 GD 静默失败、Nginx 缓存了空响应、或者 PHP-FPM 的 output_buffering 设置干扰了二进制流。遇到反复验证失败，优先抓包看验证码图片响应体是不是 PNG 数据，再查 Session 值是否真实存在——别只信前端显示。
