在PHP开发场景中，验证码常用于表单提交、登录注册等场景，用来区分用户操作和机器请求。如果验证码没有设置过期时间，一旦被恶意截取就可能被反复利用，因此实现验证码过期机制是非常必要的。
验证码过期机制的核心思路
实现验证码过期机制的核心逻辑是记录验证码的生成时间，在验证时对比当前时间和生成时间的差值，超过设定阈值就判定验证码过期。常见的实现方式是结合session存储验证码内容和对应的生成时间戳，具体流程如下：
- 生成验证码时，同时将验证码字符串和当前时间戳存入
session - 用户提交验证码时，从
session中取出存储的验证码和时间戳 - 计算当前时间戳和生成时间戳的差值，判断是否超过设定的过期时长
- 如果未超过且验证码匹配，则验证通过，同时清除
session中的验证码信息防止重复使用 - 如果超过时长或者验证码不匹配，则验证失败，提示用户刷新验证码
完整的实现代码示例
1. 生成验证码并设置过期时间
下面的代码演示了生成4位数字验证码，并将验证码内容和生成时间戳存入session的过程，过期时间设置为120秒：
<?php
session_start();
// 生成4位随机数字验证码
$code = '';
for ($i = 0; $i < 4; $i++) {
$code .= rand(0, 9);
}
// 将验证码和当前时间戳存入session
$_SESSION['captcha_code'] = $code;
$_SESSION['captcha_time'] = time(); // 当前时间戳
// 这里是生成验证码图片的逻辑，实际开发中可以根据需求替换为图片生成代码
echo "生成的验证码是：{$code}，有效期120秒";
?>
2. 验证验证码是否过期并匹配
用户提交验证码后，通过以下代码判断验证码是否有效：
<?php
session_start();
// 设定的验证码过期时长，单位秒
$expire_time = 120;
// 获取用户提交的验证码
$user_code = isset($_POST['captcha']) ? trim($_POST['captcha']) : '';
// 判断session中是否存在验证码信息
if (!isset($_SESSION['captcha_code']) || !isset($_SESSION['captcha_time'])) {
echo "验证码已失效，请刷新后重试";
exit;
}
// 计算时间差
$time_diff = time() - $_SESSION['captcha_time'];
// 判断验证码是否过期
if ($time_diff > $expire_time) {
// 清除session中的验证码信息
unset($_SESSION['captcha_code']);
unset($_SESSION['captcha_time']);
echo "验证码已过期，请刷新后重试";
exit;
}
// 验证验证码是否匹配（不区分大小写，可根据需求调整）
if (strcasecmp($user_code, $_SESSION['captcha_code']) === 0) {
// 验证通过，清除session中的验证码信息，防止重复使用
unset($_SESSION['captcha_code']);
unset($_SESSION['captcha_time']);
echo "验证码验证通过";
} else {
echo "验证码错误，请重新输入";
}
?>
注意事项
- 每次验证通过后一定要清除
session中的验证码信息，避免同一个验证码被多次使用 - 过期时长需要根据实际业务场景设置，一般登录场景设置120秒到300秒比较合理
- 如果使用的是分布式系统，
session存储可能需要替换为Redis等共享存储，保证多服务器之间验证码信息一致 - 验证码生成时要保证随机性，避免被轻易猜测
验证码过期机制是系统安全的基础防护手段之一，合理设置时效可以有效降低恶意请求的风险，开发者在开发相关功能时不应忽略这一环节。