PHP 8.4用GD生成验证码需四步：启用GD扩展并验证PNG/JPEG支持；用imagettftext()加载TTF字体绘字；添加适度干扰线与噪点并避免纯色对比；存Session校验时用hash_equals()防时序攻击且一次性有效。
PHP 8（包括 8.4）用 GD 扩展生成验证码，核心是创建图像、绘制文字与干扰元素、输出二进制流，并配合 Session 完成校验闭环。关键不在“能不能”，而在“是否就绪”和“是否安全”。下面分四块说清楚。
先确认 GD 扩展已真正启用
GD 不是默认开启的——哪怕你装的是 PHP 8.4，也得手动启用。否则调用 imagecreate() 就会报错 “Call to undefined function”。
- 运行
php -m | grep gd，有输出gd才算加载成功 - 更稳妥的方式是执行
var_dump(extension_loaded('gd'));，返回bool(true) - 若失败：Ubuntu/Debian 运行
sudo apt install php-gd；macOS + Homebrew 用brew install php@8.4-gd；Windows phpEnv 用户需编辑php.ini取消;extension=gd注释，再重启服务 - 别忘了检查依赖支持：在
phpinfo()页面搜索 “PNG Support” 和 “JPEG Support”，二者都必须显示 enabled
用 imagettftext() 替代 imagestring()（推荐）
imagestring() 只能用内置编号字体（1–5），字形固定、无抗锯齿、OCR 识别率高，不建议用于生产环境。真正可用的方案是 imagettftext() —— 它支持自定义 TTF 字体，还能加旋转、偏移、模糊感。
- 确保字体文件存在且 PHP 有读取权限，例如：
$font = __DIR__ . '/fonts/arial.ttf'; - 调用前检查：
if (!file_exists($font)) { die('字体文件不存在'); } - 绘图示例：
imagettftext($img, 16, mt_rand(-8, 8), 25 + $i * 20, 28, $text_color, $font, $code[$i]);（逐字符微调位置和角度） - 注意：PHP 8.4 对 alpha 值更严格，
imagecolorallocatealpha()的第四个参数必须是 0–127，超限会静默失败
加干扰但别过度，保持人眼可读
干扰是为了防 OCR，不是为了让人看不清。太多噪点或太密线条反而影响体验，还可能触发浏览器渲染异常。
立即学习“PHP免费学习笔记（深入）”；
- 画 4–6 条浅色干扰线：
imageline($img, rand(0, $width), rand(0, $height), rand(0, $width), rand(0, $height), $line_color); - 撒 30–50 个随机噪点：
imagesetpixel($img, rand(5, $width-5), rand(5, $height-5), $noise_color); - 避免纯黑/纯白对比：背景用
240, 240, 240，文字用40, 80, 140，线条用200, 200, 200，层次更柔和 - 禁用
imagefill()全填，改用imagefilledrectangle()填背景区域，防止边缘溢出
生成后存 Session，校验时用 hash_equals() 防时序攻击
验证码值不能明文拼接比对，也不能只靠大小写忽略处理——这会暴露字符串长度和匹配位置信息。
- 生成时存入：
$_SESSION['captcha_code'] = $code;，并设有效期：ini_set('session.gc_maxlifetime', 300);（5 分钟） - 表单提交后，先取用户输入：
$input = $_POST['captcha'] ?? ''; - 严格比对：
if (hash_equals($_SESSION['captcha_code'] ?? '', strtolower($input))) { /* 通过 */ } - 比对成功后立即销毁：
unset($_SESSION['captcha_code']);或$_SESSION['captcha_code'] = null;，确保一次性有效 - 前端记得加
<img src="captcha.php?r=<?php echo time(); ?>">防缓存
