验证码图片404或空白本质是session写入失败：跨域域名不匹配、https下cookie缺secure标志、nginx缓冲问题或session被提前关闭，导致captcha无法生成并存储校验码。
验证码图片返回 404 或空白，但 captcha 路由能访问
本质是 Session 写入失败导致验证码无法生成校验码，而前端只看到一张空图或 404。ThinkPHP 的 captcha 组件依赖 Session 存储随机字符串，一旦 Session 初始化失败（尤其是跨子域或主域不匹配），captcha 就会静默跳过写入，返回空响应。
- 检查浏览器开发者工具 Network 面板，点开验证码图片请求，看 Response 是否为空、Status 是否为 200 但 Content-Length=0
- 确认
session_start()是否被提前调用或被输出打断（比如 BOM、echo、log 输出） - 如果用了 Nginx，确认是否配置了
fastcgi_buffering off—— 否则部分 PHP 输出缓冲行为会导致图片头被截断
绑定域名后 Session 不共享：子域间 session.cookie_domain 没配对
ThinkPHP 默认使用 PHP 原生 Session，而 PHP 的 Session Cookie 域名必须显式匹配才能跨子域传递。比如你绑定了 www.example.com，但验证码接口走的是 api.example.com 或直接 example.com，Session 就不会带上。
- 在
config/session.php中设置：'domain' => '.example.com'（注意开头的点，表示匹配所有子域） - 不要写成
www.example.com或example.com（后者在新版浏览器中会被拒绝） - 若项目同时跑在 localhost 和线上环境，需动态判断：
'domain' => $_SERVER['HTTP_HOST'] === 'localhost' ? '' : '.example.com' - 修改后清空浏览器对应域名下的所有 Cookie，否则旧的
PHPSESSID仍带错误 domain 属性
HTTPS 环境下验证码失效：Cookie 缺少 Secure 标志
当站点强制 HTTPS 但 PHP 没告知 Session Cookie 只能通过加密连接传输时，浏览器会拒绝发送该 Cookie，导致每次请求都是新 Session，验证码值对不上。
- 在
config/session.php中启用：'secure' => true - 同时确保
'httponly' => true（防 XSS 窃取）和'samesite' => 'Lax'（避免跨站提交丢失） - 本地开发用 HTTP 时，
'secure'必须设为false，否则 Cookie 直接被浏览器丢弃 - Nginx 反向代理 HTTPS 到 HTTP 后端时，需加
fastcgi_param HTTPS on;，否则 PHP 无法感知安全上下文
Captcha::create() 返回 null 或报错 session has been closed
这不是验证码组件本身的问题，而是 ThinkPHP 在某些生命周期钩子里提前关闭了 Session，比如在中间件中调用了 Session::destroy()，或在控制器构造函数里就尝试读写 Session。
- 验证码生成必须在 Session 已启动且未关闭的状态下执行，推荐放在具体 action 方法内，而非
__construct或initialize - 避免在
app/middleware.php全局中间件中调用Session::clear()或Session::delete() - 检查是否有自定义日志中间件，在写日志时意外触发了
var_dump/print_r输出，破坏了图片 header - 临时调试可在
Captcha::create()前加var_dump(session_status() === PHP_SESSION_ACTIVE);确认状态
Session 域名、协议、生命周期这三块只要有一处没对齐，验证码就会变成“薛定谔的图”——看起来接口通，实际什么都没写进去。最容易被忽略的是本地开发与线上环境的 domain 和 secure 配置混用，改完别忘了清 Cookie。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
