验证码长度不能写死在配置里，因为captcha组件初始化后length值即固化，后续调用不重新读取配置；需手动调用buildcode()生成指定长度字符串并存入session，校验仅比对session中值，与配置length无关。
验证码长度为什么不能直接写死在配置里
因为 captcha 组件默认读取配置项 'length' => 4，但这个值一旦初始化就固化在生成器实例中，后续调用 captcha_src() 或 Captcha::create() 不会重新读取配置——改了配置也不生效。你得绕过默认流程，自己控制字符生成逻辑。
手动构造验证码并传入 session 的关键步骤
ThinkPHP 的验证码校验本质只比对 session 中的 'verify_code' 值，和前端传来的值是否一致。所以只要你在生成时自己写入 session，并确保前端能拿到对应图片 URL，长度就完全可控。
- 用
Captcha类的buildCode()方法生成指定长度字符串，比如$code = Captcha::instance()->buildCode(6) - 把生成的字符串存进 session：
session('verify_code', $code) - 用
imagepng()+ob_get_contents()手动输出图片（或返回 base64），避免走默认路由机制 - 前端 img 标签 src 指向一个不带参数的验证码接口即可，图片内容由你手动生成
自定义验证码路由要避开 cache 和重定向陷阱
如果你注册了 Route::get('captcha', 'index/Captcha/get') 这类路由，注意 ThinkPHP 默认会对 GET 请求启用缓存，导致多次请求返回同一张图；另外部分中间件（如多语言、跨域）可能提前终止响应，造成图片空白。
- 在控制器方法开头加
response()->header('Cache-Control', 'no-store, no-cache, must-revalidate, max-age=0') - 确保该方法不经过任何修改输出流的中间件，或在路由定义中显式关闭：
->middleware(['throttle:10,1', 'cors:false']) - 不要用
redirect()或json()返回验证码图，必须是原始二进制输出或 base64 嵌入
验证时 length 参数根本不起作用
Captcha::check($value) 内部只做字符串相等判断，和长度无关。哪怕你传入 8 位码，只要 session 里存的是 4 位，它照样只比对前 4 位（实际是全串比对，但 session 值本身只有 4 位）。真正影响校验结果的是你往 session 写什么，不是配置里的 length。
- 校验前可先检查 session：
session('verify_code') ?: 'empty'，确认长度符合预期 - 如果需要大小写敏感校验，记得生成时用
buildCode()的第二个参数控制字符集，比如buildCode(5, 'abcdefghjkmnpqrstuvwxy23456789') - 移动端常要求更长验证码防误触，建议统一用 6 位，避免用户输错后反复刷新导致 session 覆盖
verify_code，但页面上还显示着第一张图——这个得靠前端禁用按钮 + 后端加时间戳或随机 token 关联来缓解，纯靠 length 控制解决不了。php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
