revel验证码必须用session存且需手动管理生命周期：生成时存code+时间戳，校验前检查时效并清理过期项，action内必须显式调用c.session.save()；图片接口须禁用缓存、设正确content-type和cache-control头，并用renderbinary返回。
Revel框架里验证码必须用Session存，但不能靠delete()异步清理
Revel的Session本质是加密签名的Cookie，每次请求都是全新快照，time.AfterFunc里调用delete(c.Session, "captcha")完全无效——那个c.Session实例早就被回收了。你得改用时间戳标记+请求时校验的模式。
生成验证码时，除了存captcha_code，还要一起写入lastSeen（Unix时间戳字符串）；每次读取前先检查是否超时，超时就逻辑跳过并主动delete掉这两个key，再c.Session.Save()。否则用户刷新几次后，旧验证码还躺在Cookie里，可能被重复提交或撞库利用。
- 别在
Init()或全局中间件里初始化验证码逻辑，Revel的Session写操作必须在Action方法内完成 -
c.Session.Save()不是可选的：不显式调用，修改不会写回客户端Cookie - 时间戳建议用
fmt.Sprintf("%d", time.Now().Unix())，避免浮点数或时区问题
验证码图片接口要禁用缓存，且响应头必须设对
浏览器和CDN很容易把/captcha当成普通图片缓存，导致用户点刷新没反应。根本解法是后端路由强制设置Cache-Control: no-store, no-cache, must-revalidate, max-age=0，同时确保Content-Type为image/png（不是text/html或application/octet-stream）。
前端<img>的src必须带随机参数，比如/captcha?r=<timestamp></timestamp>，不能只靠Math.random()拼接——某些代理会忽略查询参数做缓存。如果用了Nginx，确认location ~ ^/captcha里没有expires或add_header Cache-Control指令。
- Revel中返回图片要用
c.RenderBinary(imgBytes, "image/png")，别用c.RenderText()或c.RenderJSON() - 生成图片失败时，必须返回400或500状态码，不能返回空图或默认占位图，否则前端无法感知错误
- GD库或Imagick扩展未启用时，
imagecreate()等函数会直接报Fatal Error，需提前在app.Init()里检测并panic提示
校验逻辑必须前置，且比对后立即清除Session值
用户提交表单时，校验验证码这一步绝不能放在查数据库、发短信、写日志之后。必须是Controller Action里的第一个逻辑分支：先取c.Session["captcha_code"]和c.Session["lastSeen"]，验证格式、时效、大小写（建议统一转strings.ToLower()），三者全通过才继续；任一失败立刻return c.RenderError("验证码错误")，不往下走。
校验成功后，必须马上delete(c.Session, "captcha_code")和delete(c.Session, "lastSeen")，再c.Session.Save()。否则同一个验证码可能被多次提交，尤其在重放攻击或用户误点“提交”两次时。
- 别用
strings.EqualFold()做大小写比对——它对Unicode支持太宽泛，可能把形近字（如l和1、O和0）也判为相等，反而降低安全性 - 验证码字符集建议限定为
ABCDEFGHJKLMNPQRSTUVWXYZ23456789，避开易混淆字符 - 若用户连续输错3次，可在Session里加
fail_count计数，超限后直接拒绝后续请求（不依赖IP，避免共享出口误伤）
字体和干扰元素得自己兜底，Revel不提供图形能力
Revel本身不带图像生成模块，你得自己用PHP的GD库、Go的image包或第三方库（如github.com/disintegration/imaging）画图。这意味着字体文件路径、抗锯齿开关、噪点密度这些细节全得手动控制——没有“开箱即用”的干扰线或贝塞尔曲线。
常见坑是字体缺失：开发机有simhei.ttf，但生产服务器只有基础英文字体，中文验证码直接变方框。解决方案是把.ttf文件打包进项目，用绝对路径加载，并在生成前用os.Stat()检查是否存在。
- 噪点建议用
draw.DrawMask叠加半透明小矩形，比单像素点更难被OCR过滤 - 文字旋转角度控制在±15°以内，再大用户识别成本陡增
- 避免用
image.DrawString直接写，改用golang.org/x/image/font/basicfont+opentype.Parse加载嵌入字体，保证跨平台渲染一致
c.Session.Save()调用时机和Cache-Control响应头的精确配置——这两处出错，前端看起来一切正常，后端却始终收不到有效验证码。
