Spring Boot生成验证码案例

wen java案例 2026-08-10 2

本文目录导读：

Spring Boot生成验证码案例

📚 目录导读
验证码机制的核心原理与安全价值
环境准备与依赖引入
基于BufferedImage的经典图形验证码实现
集成Kaptcha组件：一行代码生成复杂验证码
Redis存储与校验：防止暴力破解与时效控制
前端交互与后端接口完整演示
高级进阶：算术验证码、行为验证码与滑动拼图方案
常见问题排查与面试高频问答（QA）

Spring Boot生成验证码案例：从基础图形到高级防破解策略实战

📚 目录导读

验证码机制的核心原理与安全价值
环境准备与依赖引入（含Maven/Gradle配置）
基于BufferedImage的经典图形验证码实现
集成Kaptcha组件：一行代码生成复杂验证码
Redis存储与校验：防止暴力破解与时效控制
前端交互与后端接口完整演示（含Axios示例）
高级进阶：算术验证码、行为验证码与滑动拼图方案
常见问题排查与面试高频问答（QA）

验证码机制的核心原理与安全价值

在Web应用开发中,验证码（CAPTCHA）是抵御自动化攻击的第一道防线，其核心原理是生成一个人类可识别但机器难以模拟的随机字符串或图像，通过一次性的挑战-应答机制，确保请求来自真实用户。

从搜索引擎收录的实践经验来看,验证码不仅能防止恶意注册、刷单、撞库，还能缓解分布式拒绝服务攻击（DDoS）中的资源消耗，Spring Boot作为主流的Java微服务框架，提供了极其便捷的方式集成验证码生成，无需从零搭建复杂图像处理逻辑。

环境准备与依赖引入

创建Spring Boot项目（版本建议2.7+或3.x），引入以下核心依赖：

Spring Web：提供RESTful接口支持。
Spring Data Redis（可选）：用于分布式会话或缓存验证码。
Kaptcha：一款流行的验证码生成工具，由Google开源（现由社区维护）。

Maven 关键配置片段：

<dependency>
    <groupId>com.github.penggle</groupId>
    <artifactId>kaptcha</artifactId>
    <version>2.3.2</version>
</dependency>

Gradle 对应配置：

implementation 'com.github.penggle:kaptcha:2.3.2'

若使用纯自研方案,则无需额外依赖，只需引入 spring-boot-starter-web 即可，因为 BufferedImage 属于JDK内置图形库。

基于BufferedImage的经典图形验证码实现

当项目需要高度定制（如指定字体、干扰线数量、颜色渐变）时，自研方案更灵活，以下代码展示了核心生成逻辑：

@Service
public class CaptchaService {
    // 生成验证码图片并返回Base64编码
    public String generateCaptcha(int width, int height) {
        BufferedImage image = new BufferedImage(width, height, BufferedImage.TYPE_INT_RGB);
        Graphics2D g = image.createGraphics();
        // 设置背景色与边框
        g.setColor(Color.LIGHT_GRAY);
        g.fillRect(0, 0, width, height);
        // 生成4位随机字符
        String code = RandomStringUtils.randomNumeric(4);
        // 存入Session（单机）或Redis（集群）
        // 绘制字符，设置字体抗锯齿
        g.setFont(new Font("Arial", Font.BOLD, 24));
        g.setColor(Color.BLUE);
        g.drawString(code, 15, 25);
        // 添加噪声线与噪点
        for (int i = 0; i < 10; i++) {
            g.drawLine(new Random().nextInt(width), new Random().nextInt(height),
                       new Random().nextInt(width), new Random().nextInt(height));
        }
        g.dispose();
        // 编码为Base64字符串返回给前端
        // ...
    }
}

关键点： 务必在生成后立即将答案存储至后端（Session或Redis），并设置过期时间（如60秒），前端仅拿到图片Base64，不能返回明文答案。

集成Kaptcha组件：一行代码生成复杂验证码

Kaptcha大幅简化了验证码生成过程,通过配置 Producer Bean，即可控制宽高、颜色、干扰线密度。

配置类示例：

@Configuration
public class CaptchaConfig {
    @Bean
    public Producer captchaProducer() {
        Properties props = new Properties();
        props.put("kaptcha.textproducer.font.size", "40");
        props.put("kaptcha.textproducer.char.space", "4");
        props.put("kaptcha.obscurificator.impl", "com.google.code.kaptcha.impl.ShadowGimpy");
        // 更多参数查文档
        Config config = new Config(props);
        return config.getProducerImpl();
    }
}

接口层只需调用：

@GetMapping("/captcha")
public Map<String, String> getCaptcha() {
    String text = producer.createText();
    BufferedImage image = producer.createImage(text);
    // 存储text到Redis，key为uuid
    String uuid = UUID.randomUUID().toString();
    redisTemplate.opsForValue().set(uuid, text, 60, TimeUnit.SECONDS);
    // 返回uuid与Base64图片
}

该方案在搜索引擎收录的实战案例中被验证为稳定、抗破解性较强，因 ShadowGimpy（阴影效果）增加了图像识别难度。

Redis存储与校验：防止暴力破解与时效控制

在生产环境,严禁将验证码明文存于Session（因为集群环境下Session不共享），推荐使用Redis：

存储时机：生成验证码时，以随机UUID作为键，验证码字符串作为值，设置过期时间为60秒。
校验逻辑：前端提交时同时携带UUID与用户输入值，后端取出Redis中对应值，通过 equalsIgnoreCase 对比，并立即删除键（一次性使用）。

校验代码片段：

@PostMapping("/login")
public Result login(@RequestBody LoginRequest req) {
    String storedCode = redisTemplate.opsForValue().get(req.getUuid());
    if (storedCode == null || !storedCode.equalsIgnoreCase(req.getCode())) {
        return Result.error("验证码错误或已过期");
    }
    redisTemplate.delete(req.getUuid()); // 使验证码失效
    // 继续业务逻辑...
}

前端交互与后端接口完整演示

前端使用Vue或普通HTML+JavaScript获取验证码，核心步骤如下：

<img :src="captchaImg" @click="refreshCaptcha" alt="验证码" />
<script>
async function getCaptcha() {
  const res = await axios.get('/captcha');
  this.uuid = res.data.uuid;
  this.captchaImg = res.data.img; // base64字符串，格式为 data:image/png;base64,...
}
// 提交时带上 uuid 和 code 即可
</script>

对于Base64图片数据,务必在接口返回时拼接前缀 data:image/png;base64,，并在前端直接绑定至 src 属性，点击图片刷新时，重新调用 getCaptcha 方法并替换UUID。

高级进阶：算术验证码、行为验证码与滑动拼图方案

算术验证码：将随机数字生成算式（如 3+5=?），答案存于Redis。优点：用户交互亲切，破解难度稍高（需理解语义）。
行为验证码（如腾讯滑块）：通过分析用户的鼠标轨迹、拖动速度判断是否人为操作，Spring Boot可集成第三方SDK，也可自研基于前端JS轨迹采集接口。
滑动拼图：生成背景图与滑块缺口，记录滑块位置坐标，后端校验滑动的准确度与时间差。