beego 2.x 中初始化 captcha 实例的正确写法是：在全局 init() 函数中，先声明全局 store 变量（如 var store cache.cache），再调用 captcha.newwithfilter("/captcha/", store)，并设置 cpt.expiration = 300；store 必须为全局变量以确保 handler 间共享，/captcha/ 路由需避免被其他中间件拦截。
Beego 框架内置了 captcha 模块，不用额外引入第三方库就能快速生成图形验证码；但默认用内存存储、不设过期、不绑定会话，直接照搬示例代码上线容易被绕过或失效。
beego/v2 中初始化 captcha 实例的正确写法
Beego 2.x 的 captcha 包路径是 github.com/beego/beego/v2/server/web/captcha，必须搭配 cache 存储后端使用。常见错误是只 new 一次 store 却没传给 captcha，或把 NewWithFilter 放错位置。
-
init()函数里调用captcha.NewWithFilter("/captcha/", store)，不是在 controller 方法里每次 new - store 必须是全局变量（如
var store cache.Cache），否则 handler 间无法共享 -
/captcha/是图片资源路由前缀，需确保该路径未被其他中间件拦截（比如 auth 中间件不该作用于它） - 设置
cpt.Expiration = 300（单位秒），否则默认 0 表示永不过期，Redis 或内存都会堆积
模板中渲染验证码并获取表单字段名
{{create_captcha}} 不只是插入一张图——它会自动输出 <img> + 两个隐藏域：<input name="captchaId" value="xxx"> 和 <input name="captcha" value="">。前端不需要手动拼 ID，但要注意字段名是否被覆盖。
- 默认
FieldIDName是"captchaId"，FieldCaptchaName是"captcha"，可显式设置避免冲突 - 若页面有多个表单，确保每个表单的
name值不重复，否则 POST 时可能取错值 - 不要删掉隐藏域；否则
VerifyReq()会因取不到captchaId直接返回 false
校验时必须检查上下文一致性
Beego 的 cpt.VerifyReq(r *http.Request) 内部调用 ParseForm() 并读取 Form.Get(c.FieldIDName) 和 Form.Get(c.FieldCaptchaName)，但它**不校验请求来源**。攻击者只要拿到任意一个有效 captchaId，就能反复重放。
- 生产环境务必在调用
VerifyReq前，先比对 session 中的登录态或 IP+User-Agent 组合是否匹配生成时的指纹 - 若用
Verify(id, code)手动校验，注意第二个参数要strings.TrimSpace(code)，空格和大小写都影响结果 - 校验成功后，
VerifyReq会自动调用store.Delete(key)，但前提是 key 格式和存储时一致；自定义CachePrefix后必须保证前后一致
为什么验证码总提示“错误”？几个高频坑点
最常遇到的“明明输对了却报错”，90% 都出在初始化或生命周期上。
- 服务重启后验证码全失效 → 因为用了
cache.NewMemoryCache()，进程一挂数据就丢；多实例部署时更明显 - 第一次访问页面没图、控制台报 404 →
/captcha/xxx路由没注册，或被beego.Router的通配规则提前拦截 - 连续刷新几次后验证码变空白 →
driver初始化失败（比如字体路径不对），但 beego 默认不抛 panic，静默 fallback 成空图 - 移动端点击图片不刷新 →
{{create_captcha}}渲染的 img src 是静态 URL，需前端加时间戳或点击事件手动 reload
真正难的不是生成那张图，而是让每个 captchaId 只能被一个用户、在有限时间内、用指定上下文使用一次；所有看似“自动”的封装，背后都要你亲手补上那层上下文绑定逻辑。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
