文件存储式验证码首次POST请求偶现file_get_contents失败问题

问题描述 #

我们用文件存储验证码实现登录验证时，遇到偶发异常：明明文件实际存在，却在首次POST提交验证码时提示文件找不到，重新提交请求就能正常读取文件并验证。

相关实现代码：

1. 文件路径定义：

$this->filename = ASSETS_DIR . "login/" . session_id();

2. 非POST请求生成验证码并写入文件：

if(count($_POST) <= 0){
    $imageText = rand(1000,9999);
    $myImage = createCapImg($imageText,'',session_id());
    file_put_contents($this->filename,$imageText);
}

3. POST请求读取验证码文件：

$capNum = file_get_contents($this->filename);

报错信息：

file_get_contents(assets/login/b10f9eb03d7c29a7dab4bb5970b6e827): failed to open stream: No such file or directory in

问题原因分析 #

1. 会话ID不一致：这是最常见的原因。首次POST请求时，客户端可能未正确携带验证码页面生成的会话Cookie，导致服务端生成新的session_id，此时用新ID去读取文件自然找不到——因为文件是用之前的会话ID命名的。重新提交时Cookie已正常携带，会话ID匹配，就能找到文件。
2. 文件写入延迟：部分文件系统（如带缓存的磁盘、网络存储）存在写入延迟，file_put_contents调用返回后，内容可能还没真正落地到磁盘，此时首次POST请求过来就读取，就会出现文件不存在的错误。
3. 目录权限不稳定：assets/login/目录权限不足，偶尔导致文件创建失败，但概率较低，且重新提交时一般不会自动恢复，所以优先级低于前两个原因。

解决方案 #

方案1：改用会话存储验证码（推荐） #

放弃文件存储，直接将验证码内容绑定到会话中，彻底避免文件相关问题：

// 非POST请求生成验证码
if(count($_POST) <= 0){
    // 生成唯一验证码ID
    $captchaId = uniqid('capt_', true);
    $imageText = rand(1000,9999);
    // 把验证码存入会话，绑定ID
    $_SESSION['captchas'][$captchaId] = $imageText;
    // 生成验证码图片（这里可以把captchaId传给createCapImg，或者前端通过URL参数携带）
    $myImage = createCapImg($imageText, '', $captchaId);
    // 前端渲染验证码图片时，要把captchaId带上，比如：<img src="captcha.php?id=<?= $captchaId ?>">
}

// POST请求验证验证码
$captchaId = $_POST['captcha_id'] ?? '';
$userInput = $_POST['captcha_num'] ?? '';

if(isset($_SESSION['captchas'][$captchaId]) && $_SESSION['captchas'][$captchaId] === $userInput){
    // 验证通过，销毁该验证码防止重复使用
    unset($_SESSION['captchas'][$captchaId]);
    // 后续登录逻辑
} else {
    // 验证码错误处理
}

方案2：修复文件存储的问题 #

如果一定要用文件存储，可从以下两点优化：

• 确保会话ID一致：检查会话Cookie的设置，开启session.cookie_httponly避免前端干扰，同时确保Cookie的path覆盖登录页面和提交页面的路径，保证客户端能正确携带会话ID。
• 解决写入延迟与并发问题：写入文件时加排他锁，读取前增加重试逻辑：

// 写入文件时加排他锁
file_put_contents($this->filename, $imageText, LOCK_EX);

// 读取文件时增加重试
$maxRetries = 3;
$retryCount = 0;
$capNum = false;
while ($retryCount < $maxRetries) {
    if (file_exists($this->filename)) {
        $capNum = file_get_contents($this->filename);
        break;
    }
    usleep(100000); // 等待100毫秒后重试
    $retryCount++;
}

if ($capNum === false) {
    // 文件仍不存在，返回验证码错误提示
}

权限检查 #

最后确认assets/login/目录的权限，确保Web服务器进程（如www-data、apache）拥有读写权限，建议目录权限设为755，文件权限设为644。

内容的提问来源于stack exchange，提问作者Zeyd Lprn