PHP图像验证码生成实战-php教程-PHP中文网

imagecreatetruecolor必须在输出前调用且尺寸匹配干扰逻辑，画布需设为130×45或200×60，禁用imagecreate；session写入须在图像生成前完成并小写存储，验证后立即unset；噪点30–60个、干扰线5–8条，颜色与背景差值30–50；字符定位须用imagettfbbox动态计算宽度。

php图像验证码生成实战

imagecreatetruecolor 必须在输出前调用，且画布尺寸要匹配干扰逻辑

GD库生成验证码的第一道门槛不是画字，而是画布初始化。很多脚本跑起来只显示红叉或空白，问题就出在 imagecreatetruecolor 调用时机或参数错位。它必须在所有输出（包括空格、BOM、echo）之前执行；一旦有任意字符提前刷到响应流，header('Content-Type: image/png') 就会失效。

画布宽高建议设为 130×45 或 200×60，太小容不下4个带偏移的字符，太大则噪点密度下降、OCR识别难度反而降低
不要用 imagecreate（调色板模式），它不支持真彩色抗锯齿，imagettftext 渲染文字边缘毛刺明显
如果要用 TrueType 字体（推荐），路径必须是服务器绝对路径，相对路径在 CLI 或某些 FastCGI 配置下会静默失败
创建后立即用 imageantialias($image, true) 开启抗锯齿，否则旋转文字时锯齿严重

$_SESSION['captcha_code'] 的写入时机和清理方式直接影响安全性

验证码明文绝不能出现在 URL、HTML 源码或 JS 变量里，唯一合法落点就是服务端 Session。但很多人把 $_SESSION['captcha_code'] = $code 放在图像输出之后，导致 Session 写入失败——因为 session_start() 后若已输出内容，PHP 会拒绝写入 Session（除非启用 session.use_cookies=0 这种危险配置）。

必须在调用任何 image* 函数前完成 $_SESSION['captcha_code'] = strtolower($code)
建议统一转小写存储，前端校验时也用 strtolower(trim($_POST['captcha']))，避免大小写争议
表单验证通过后立刻执行 unset($_SESSION['captcha_code'])，不要等 GC 自动回收
不要依赖 session_destroy() 清理，它会干掉整个会话，影响登录态等其他数据

imagesetpixel 和 imageline 的干扰强度需平衡可读性与防 OCR

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

加干扰不是越多越好。实测发现：30–60 个随机噪点 + 5–8 条浅色干扰线（颜色 RGB 值与背景差值控制在 30–50）效果最稳。干扰过强，手机用户看不清；过弱，Python + pytesseract 3 行代码就能破解。

噪点用 imagesetpixel($image, mt_rand(0, $width), mt_rand(0, $height), $noise_color)，别用 rand()（伪随机种子未重置）
干扰线起点终点坐标必须严格限制在画布内，mt_rand(0, $width) 是安全的，mt_rand(-10, $width + 10) 可能导致 GD 报错或图像截断
线条颜色建议用 imagecolorallocate($image, 200, 180, 180) 这类浅灰红，比纯黑/白更难被二值化

imagettftext 字符定位容易偏移，x 坐标要动态累加

用 imagettftext 逐字绘制时，固定 x 偏移（如每次 +30）会导致字符堆叠或间隙过大，尤其字体宽度不一（如 “i” vs “W”）。正确做法是调用 imagettfbbox 获取每个字符边界框，再累加宽度。

示例关键片段：

$char = $code[$i];
$bbox = imagettfbbox(20, 0, $font_path, $char);
$char_width = $bbox[2] - $bbox[0];
imagettftext($image, 20, mt_rand(-15, 15), $x, 32, $text_color, $font_path, $char);
$x += $char_width + mt_rand(5, 10);