HTML5不提供验证码加密校验功能，仅负责表单结构和基础交互；加密校验需前后端协作：前端用HTML5+JS实现输入控制与防呆，后端完成生成、存储、比对及安全校验。
HTML5 本身不提供验证码的加密校验功能，它只负责表单结构和基础交互；验证码的“加密校验”实际是前后端协作的过程：前端用 HTML5 + JavaScript 实现用户输入与简单防呆，后端完成核心的生成、存储、比对和安全校验（如加盐哈希、时效性、一次性验证等）。
前端：HTML5 表单 + JS 基础交互控制
利用 HTML5 的语义化标签和原生属性提升体验，但不承担加密或真实校验逻辑：
- 使用
限制输入格式（仅作提示，可被绕过） - 配合
autocomplete="off"和autocapitalize="none"减少干扰 - 用 JavaScript 监听输入，实时显示长度/大小写提示，禁用提交按钮直到验证码填入且非空
- 切勿在前端 JS 中嵌入密钥、哈希算法或校验逻辑——所有敏感逻辑必须由服务端执行
后端：验证码生成与安全校验的核心环节
所谓“加密校验”，关键在后端实现。常见可靠做法：
- 服务端生成随机字符串（如 4~6 位字母数字），用 加盐 SHA-256 或 bcrypt 存入 Redis（带 2~5 分钟 TTL）
- 将明文验证码通过 Base64 或简单混淆（如异或+时间戳）生成图片 URL 参数（
/captcha?token=abc123），但图片服务不暴露原始值 - 用户提交时，后端取出 Redis 中对应 token 的哈希值，对用户输入做相同加盐哈希，严格比对
- 校验成功后立即删除该 token，防止重放；失败则记录次数，超限临时锁定 IP 或账号
增强安全性：避开常见误区
很多项目误以为“前端加密 = 安全”，实际反而引入风险：
立即学习“前端免费学习笔记（深入）”；
- ❌ 把验证码用 JS 做 MD5 或 Base64 后传给后端——攻击者直接调用同段 JS 就能伪造
- ❌ 在 HTML 源码或 data-* 属性里埋藏加密后的验证码——审查元素即暴露
- ✅ 正确做法：前端只传原始输入值 + 请求唯一标识（如 session_id 或 token），后端查库比对
- ✅ 可选叠加：校验时验证 Referer / Origin、要求携带 CSRF Token、限制请求频率
轻量级实践示例（Node.js + Express）
简要示意关键流程，不含 UI 渲染：
- 用户访问表单 → 后端生成
code = 'X7mQ'，存入 Redis：SET captcha:abc123 SHA256('X7mQ' + salt + timestamp) - 前端提交
{ captcha: 'X7mQ', token: 'abc123' } - 后端收到后：取 Redis 中
captcha:abc123的哈希值，计算SHA256('X7mQ' + salt + timestamp)并比对 - 一致则通过，删除 key；否则返回错误，不透露是“输错”还是“过期”
