PHP生成指定范围随机验证码需自定义安全字符集（如排除0、O、l、I），用mt_rand循环拼接确保长度精准，存入$_SESSION时统一大小写并设置5分钟有效期校验。
PHP生成指定范围随机验证码，核心在于控制字符集、长度和随机性。不需要复杂类库，用内置函数就能高效实现。
指定字符范围：自定义字母数字组合
验证码常用大小写字母加数字，但有时需排除易混淆字符（如0、O、l、I）。可用字符串拼接或数组定义字符集：
- 安全字符集示例：
$chars = '23456789ABCDEFGHJKLMNPQRSTUVWXYZ'; - 若需包含小写，可追加
abcdefghijkmnpqrstuvwxyz（跳过 l 和 o） - 避免直接用 range('a','z') + range('0','9')，因不易剔除歧义字符
生成固定长度随机串：用 str_shuffle 或 mt_rand 循环取值
str_shuffle() 简洁但不保证长度可控（需截取），更推荐循环+mt_rand()确保精准长度：
- 初始化空字符串
$code = ''; - 循环 n 次，每次
$code .= $chars[mt_rand(0, strlen($chars)-1)]; - 比
substr(str_shuffle($chars), 0, $len)更可靠，尤其当$len > strlen($chars)时不会出错
输出与校验：注意大小写敏感与会话存储
生成后需存入$_SESSION供后续验证，并注意前端显示一致性：
立即学习“PHP免费学习笔记（深入）”；
- 保存时统一转为小写或大写：
$_SESSION['captcha'] = strtoupper($code); - 表单提交后验证前，对用户输入也做相同转换：
strtoupper($_POST['captcha']) === $_SESSION['captcha'] - 验证通过或超时后及时
unset($_SESSION['captcha'])，防重放
增强安全性：简单干扰与过期控制
基础随机码易被暴力破解，加一层轻量防护即可提升门槛：
- 设置验证码有效期（如5分钟）：
$_SESSION['captcha_time'] = time();，验证时检查time() - $_SESSION['captcha_time'] - 图像验证码可叠加噪点、倾斜字体，但纯文本场景建议配合IP限流或提交次数限制
- 避免在HTML源码中明文泄露验证码，禁止
<input type="hidden" value="xxx">传真实码
不复杂但容易忽略细节，把字符集、长度控制、会话绑定和时效性四点理清，就能写出稳定可用的验证码逻辑。
