首先生成随机字符串并绘制成图像，同时存入session；用户提交后比对输入与session中验证码是否一致。通过添加干扰线、噪点、扭曲字体、数学题等方式提升安全性，并限制刷新频率、验证码使用后立即销毁来防止恶意行为。实际应用中建议结合用户行为触发验证码，或使用reCAPTCHA等成熟方案增强防护。
PHP验证码的生成与验证，核心在于生成随机字符串并将其存储在服务器端（通常是session），然后在前端展示，用户输入后与服务器端存储的值进行比较。
生成验证码主要包括两部分：生成验证码图片和生成随机字符串。验证则是在用户提交后，对比用户输入的验证码和服务器端存储的验证码。
生成安全验证码：PHP完整教程
如何生成一个简单的PHP验证码？
最基础的PHP验证码生成涉及几个关键步骤。首先，你需要生成一个随机字符串，这个字符串将作为验证码的内容。其次，你需要创建一个图像，并将这个随机字符串绘制到图像上。最后，你需要将图像输出到浏览器，并同时将随机字符串存储到session中，以便后续验证。
立即学习“PHP免费学习笔记（深入）”；
<?php
session_start();
// 生成随机字符串
function generateRandomString($length = 6) {
$characters = '0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ';
$charactersLength = strlen($characters);
$randomString = '';
for ($i = 0; $i < $length; $i++) {
$randomString .= $characters[rand(0, $charactersLength - 1)];
}
return $randomString;
}
$captcha_code = generateRandomString();
$_SESSION['captcha_code'] = $captcha_code;
// 创建图像
$image = imagecreatetruecolor(120, 40);
$background_color = imagecolorallocate($image, 255, 255, 255);
$text_color = imagecolorallocate($image, 0, 0, 0);
imagefill($image, 0, 0, $background_color);
// 绘制文本
imagestring($image, 5, 30, 10, $captcha_code, $text_color);
// 输出图像
header('Content-type: image/png');
imagepng($image);
imagedestroy($image);
?>这段代码的核心在于 generateRandomString 函数，它生成指定长度的随机字符串。然后，我们使用 imagecreatetruecolor 创建一个图像，并使用 imagestring 将随机字符串绘制到图像上。最后，通过设置 Content-type 头信息，将图像输出到浏览器。需要注意的是，在生成验证码的同时，我们将其存储到 $_SESSION['captcha_code'] 中，以便后续验证。
如何验证用户输入的验证码？
验证用户输入的验证码也很简单。当用户提交表单时，获取用户输入的验证码，并将其与存储在session中的验证码进行比较。
<?php
session_start();
if ($_SERVER["REQUEST_METHOD"] == "POST") {
$user_captcha = $_POST['captcha'];
$server_captcha = $_SESSION['captcha_code'];
if ($user_captcha == $server_captcha) {
echo "验证码正确！";
// 执行其他操作
} else {
echo "验证码错误！";
}
}
?>
<form method="post">
<label for="captcha">验证码:</label>
<input type="text" name="captcha" id="captcha">
<img src="captcha.php" alt="验证码图片">
<button type="submit">提交</button>
</form>这段代码首先检查请求方法是否为 POST。然后，获取用户输入的验证码和存储在session中的验证码，并进行比较。如果两者相等，则表示验证码正确，否则表示验证码错误。
如何增加验证码的安全性？
仅仅生成随机字符串并绘制到图像上是不够的，因为这种简单的验证码很容易被OCR识别。为了增加验证码的安全性，可以采取以下措施：
-
增加干扰线和噪点： 在图像上绘制随机的线条和噪点，可以有效地干扰OCR识别。
// 增加干扰线 for ($i = 0; $i < 5; $i++) { $line_color = imagecolorallocate($image, rand(0, 255), rand(0, 255), rand(0, 255)); imageline($image, rand(0, 120), 0, rand(0, 120), 40, $line_color); } // 增加噪点 for ($i = 0; $i < 100; $i++) { $pixel_color = imagecolorallocate($image, rand(0, 255), rand(0, 255), rand(0, 255)); imagesetpixel($image, rand(0, 120), rand(0, 40), $pixel_color); } -
使用扭曲的字体： 使用扭曲的字体可以使验证码更难以识别。可以使用GD库提供的
imagettftext函数，并选择一些特殊的字体。// 使用TTF字体 $font = 'path/to/your/font.ttf'; // 替换为你的字体文件路径 $text_color = imagecolorallocate($image, 0, 0, 0); imagettftext($image, 20, rand(-10, 10), 20, 30, $text_color, $font, $captcha_code);
-
使用不同颜色和大小的字符： 随机改变字符的颜色和大小，可以进一步增加验证码的复杂性。
// 随机改变字符颜色和大小 $text_color = imagecolorallocate($image, rand(0, 255), rand(0, 255), rand(0, 255)); $font_size = rand(15, 25); imagettftext($image, $font_size, rand(-10, 10), 20, 30, $text_color, $font, $captcha_code);
-
使用数学公式或算术题： 生成简单的数学公式或算术题，让用户计算结果并输入。这种方式可以有效地防止机器人识别。
// 生成数学公式 $num1 = rand(1, 10); $num2 = rand(1, 10); $operator = ['+', '-', '*'][rand(0, 2)]; $captcha_code = "$num1 $operator $num2 = ?"; $_SESSION['captcha_answer'] = eval("return $num1 $operator $num2;"); // 验证用户输入的答案 if ($_SERVER["REQUEST_METHOD"] == "POST") { $user_answer = $_POST['captcha']; $server_answer = $_SESSION['captcha_answer']; if ($user_answer == $server_answer) { echo "验证码正确！"; } else { echo "验证码错误！"; } }
如何防止验证码被恶意刷新？
恶意刷新验证码会增加服务器的负担。为了防止验证码被恶意刷新，可以采取以下措施：
-
限制验证码的刷新频率： 记录用户上次刷新验证码的时间，并限制用户在一定时间内不能再次刷新。
// 限制验证码刷新频率 if (isset($_SESSION['last_captcha_time']) && (time() - $_SESSION['last_captcha_time'] < 5)) { echo "请稍后再刷新验证码！"; exit; } $_SESSION['last_captcha_time'] = time(); -
使用验证码后立即销毁： 在验证码被成功验证后，立即销毁session中存储的验证码，防止被重复使用。
// 验证成功后销毁验证码 if ($user_captcha == $server_captcha) { echo "验证码正确！"; unset($_SESSION['captcha_code']); } 使用IP地址限制： 记录刷新验证码的IP地址，并限制同一IP地址在一定时间内刷新验证码的次数。
如何在实际项目中使用验证码？
在实际项目中，验证码通常用于防止恶意注册、登录、评论等操作。以下是一些使用验证码的建议：
- 在重要的表单中使用验证码： 例如，注册表单、登录表单、评论表单等。
- 将验证码与用户行为相结合： 例如，如果用户在短时间内多次尝试登录失败，则强制用户输入验证码。
- 定期更新验证码： 定期更新验证码可以有效地防止机器人识别。
- 使用成熟的验证码库： 例如，Google reCAPTCHA等。这些库提供了更高级的验证码功能，可以有效地防止机器人攻击。
验证码的安全性是一个持续的挑战。随着OCR技术的发展，传统的验证码越来越容易被破解。因此，我们需要不断地改进验证码的生成和验证方式，以提高验证码的安全性。同时，我们也可以考虑使用一些更高级的验证方式，例如，行为验证、设备指纹等。
