PHP验证码字母Session超时处理-php教程-PHP中文网

php验证码session超时必须手动控制，因gc异步不精确，易致验证码提前失效或延迟清理；须生成时存code与time戳，验证时严格按存在性、超时、匹配三步判断并及时清除。

php验证码字母session超时处理

PHP验证码（含字母）的Session超时必须手动控制，不能依赖session.gc_maxlifetime——因为GC是异步且不精确的，验证码这类短时效场景一旦用错，用户刚输完就提示“错误”，实际是Session被悄悄回收了。

为什么不能只靠php.ini里的session.gc_maxlifetime

GC机制只在部分请求中触发清理，且依赖session.gc_probability和session.gc_divisor的随机概率。即使你设了session.gc_maxlifetime = 300（5分钟），已生成的验证码Session可能在第6分钟才被删，也可能在第2分钟就被误删——尤其在低流量站点，GC几乎不运行。更关键的是：$_SESSION['captcha_code']和$_SESSION['captcha_time']必须成对存在、同步判断，而GC只管“文件存活时间”，不管“业务逻辑是否还有效”。

GC清理的是整个Session文件，不是单个键；删掉$_SESSION['captcha_code']的同时可能连$_SESSION['user_id']也丢了
验证码校验失败时，常见报错其实是Undefined index: captcha_code或空值比对，而不是明确的“过期”提示
如果站点同时用Session存登录态和验证码，混用GC会导致登录态意外失效

生成验证码时必须同时写入时间戳

在生成图片并输出前，把验证码字符串和当前时间戳一起写入Session，缺一不可。注意顺序和命名一致性：

openclaw session viewer

生成交互式 HTML 查看器，用于审查和分析 OpenClaw 对话会话，包含历史、工具调用、令牌使用和调试细节。

下载

$_SESSION['captcha_code'] = $code; // 如 'aB3x'
$_SESSION['captcha_time'] = time();

不要用microtime(true)，time()足够，且避免浮点数比较误差
变量名必须固定（如captcha_time），否则验证时读不到
生成后立即session_write_close()可释放Session锁，避免并发请求阻塞

验证时先判断超时再比对值

用户提交表单后，验证逻辑必须严格按“是否存在 → 是否超时 → 是否匹配”三步走，任何一步失败都应拒绝，且不暴露具体原因（防暴力枚举）：

if (!isset($_SESSION['captcha_code']) || !isset($_SESSION['captcha_time'])) {
    return false;
}
$elapsed = time() - $_SESSION['captcha_time'];
if ($elapsed > 300) { // 5分钟
    unset($_SESSION['captcha_code'], $_SESSION['captcha_time']);
    return false;
}
if (strtolower($_POST['captcha']) !== strtolower($_SESSION['captcha_code'])) {
    return false;
}
// 验证成功：立刻清除，防止重放
unset($_SESSION['captcha_code'], $_SESSION['captcha_time']);