如何用Java实现验证码生成？掌握随机数绘制图形核心步骤

在Web系统的注册与登录环节，图形验证码能有效阻挡脚本批量提交。用Java实现这类验证码并不依赖第三方框架，核心就是随机数生成与AWT图形绘制两套API的配合。下面从工程角度拆解完整实现路径。

一、准备画布与基础参数

验证码图片本质是一个内存中的位图，Java通过BufferedImage类在堆内开辟一块图像缓冲区。我们需要先确定宽、高、图片类型，通常选TYPE_INT_RGB就能满足彩色干扰线需求。创建好对象后，调用getGraphics()拿到画笔，后续所有文字与线条都由这支笔完成。

很多初学者直接写死宽高，导致移动端显示过小。建议把宽高、字符数、干扰线数量提取为方法参数，方便不同页面复用。同时画笔拿到后第一件事往往是填充背景色，否则默认透明在浏览器可能渲染异常。以下代码展示最基础的画布初始化：

import java.awt.Color;
import java.awt.Graphics;
import java.awt.image.BufferedImage;

public class CodeCanvas {
    public static BufferedImage createBase(int width, int height) {
        // 创建RGB类型的内存图片
        BufferedImage img = new BufferedImage(width, height, BufferedImage.TYPE_INT_RGB);
        Graphics g = img.getGraphics();
        // 填充白底，避免透明背景
        g.setColor(Color.WHITE);
        g.fillRect(0, 0, width, height);
        g.dispose();
        return img;
    }
}

二、用Random生成随机字符与干扰

随机性是验证码防机器的关键。Java自带的java.util.Random配合System.currentTimeMillis()做种子，足以应付一般业务场景。字符集建议剔除0、o、1、l这类易混符号，只用大小写字母与数字子集，降低用户输错率。

除了字符，还要用同一个Random对象生成干扰线坐标与颜色，让OCR难以切割。注意Random实例不要在每个方法里new，否则高并发下种子相近会画出雷同图。推荐以单例或方法入参形式传递。下面示例生成四位随机码并画出五条干扰线：

import java.awt.Color;
import java.awt.Graphics;
import java.util.Random;

public class CodeBuilder {
    private static final String CHAR_POOL = "ABCDEFGHJKLMNPQRSTUVWXYZ23456789";
    private static final Random RAND = new Random();

    public static String drawCode(Graphics g, int width, int height, int len) {
        StringBuilder sb = new StringBuilder();
        for (int i = 0; i < len; i++) {
            int idx = RAND.nextInt(CHAR_POOL.length());
            char c = CHAR_POOL.charAt(idx);
            sb.append(c);
            // 随机颜色与基准位置
            g.setColor(new Color(RAND.nextInt(255), RAND.nextInt(255), RAND.nextInt(255)));
            g.drawString(String.valueOf(c), 20 + i * 25, 30);
        }
        // 画干扰线
        for (int i = 0; i < 5; i++) {
            g.setColor(new Color(RAND.nextInt(255), RAND.nextInt(255), RAND.nextInt(255)));
            g.drawLine(RAND.nextInt(width), RAND.nextInt(height),
                       RAND.nextInt(width), RAND.nextInt(height));
        }
        return sb.toString();
    }
}

三、输出为图片流返回前端

内存中的BufferedImage必须序列化为字节流才能通过HTTP响应。借助ImageIO.write()写入ByteArrayOutputStream，再取出字节数组设置到响应体，并将Content-Type置为image/png，浏览器即可直接渲染。切勿用字符流输出，否则会出现乱码空白图。

在Servlet环境里，把生成的真实码字存入Session，供后续登录接口比对。下面给出一个合并上述步骤的doGet示例，可直接映射到验证码地址：

import java.awt.Graphics;
import java.awt.image.BufferedImage;
import java.io.ByteArrayOutputStream;
import java.io.IOException;
import javax.imageio.ImageIO;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

public class CaptchaServlet extends HttpServlet {
    protected void doGet(HttpServletRequest req, HttpServletResponse resp)
            throws ServletException, IOException {
        int width = 120, height = 40;
        BufferedImage img = new BufferedImage(width, height, BufferedImage.TYPE_INT_RGB);
        Graphics g = img.getGraphics();
        g.setColor(java.awt.Color.WHITE);
        g.fillRect(0, 0, width, height);
        // 调用前面定义的绘制方法
        String code = CodeBuilder.drawCode(g, width, height, 4);
        g.dispose();
        req.getSession().setAttribute("captcha", code);
        ByteArrayOutputStream bos = new ByteArrayOutputStream();
        ImageIO.write(img, "png", bos);
        resp.setContentType("image/png");
        resp.getOutputStream().write(bos.toByteArray());
    }
}

四、常见问题与优化思路

基础版验证码在并发下可能出现图片串号，根源多是Session写入与输出非原子操作，或Random种子碰撞。可以用ThreadLocalRandom替代共享Random提升随机质量，并在输出前确保Session已提交。

若业务对安全性要求更高，可加入扭曲字体、算术题或滑块逻辑，但图形基础模块仍是底层。理解Random与BufferedImage协作机制后，你也能轻松扩展到二维码、水印等图像任务，不必每次引入臃肿工具包。

Java验证码RandomBufferedImage修改时间：2026-08-06 08:45:28