PHP验证码会话异常：生成的验证码未存入SESSION问题排查

针对你遇到的测试环境正常、集成到在线商店后$_SESSION['captcha_spam']无法写入的问题，可从以下几个方向排查：

1. 跨子域名会话隔离 #

如果表单页面和captcha.php所在域名/子域名不一致（比如表单在主站域名，captcha.php在media子域名），原生PHP会话Cookie默认仅绑定当前域名，导致两个请求的SESSION上下文不共享。

解决方法：
在表单页面和captcha.php的session_start()前统一设置会话Cookie参数，确保跨子域名共享：

session_set_cookie_params([
    'domain' => '.yourstore-domain.com', // 前缀加.，匹配所有子域名
    'path' => '/',
    'secure' => true, // 若使用HTTPS必须开启
    'httponly' => true
]);
session_start();

2. 商店系统的SESSION机制冲突 #

多数电商系统有自定义SESSION管理（如数据库存储、框架封装），直接调用原生session_start()可能和系统的SESSION上下文脱节，导致写入的$_SESSION无法被表单页面读取。

解决方法：

• 优先使用商店系统提供的SESSION API存储验证码，而非直接操作$_SESSION；
• 若必须用原生SESSION，需在captcha.php中先加载商店的初始化环境，确保和表单页面使用同一SESSION上下文：

  require_once '/path/to/shop-root/bootstrap.php'; // 替换为商店实际的入口初始化文件
  session_start();
  // 后续写入SESSION逻辑不变
  

3. 缓存/CDN导致PHP代码未执行 #

即使添加了禁止缓存的响应头，部分CDN或商店内置缓存可能仍会缓存captcha.php的图片响应，导致实际请求未触发PHP代码执行，自然不会写入SESSION。

解决方法：

• 给captcha.php的URL添加唯一随机参数，避免缓存命中：

  <img src="/media/content/captcha.php?rand=<?php echo mt_rand(); ?>" 
       alt="Captcha" 
       title="点击刷新验证码" 
       onclick="this.src='/media/content/captcha.php?rand='+Math.random();document.getElementById('captcha_code').value=''" 
       width="130px" height="38px" />
  

• 在服务器配置（如Nginx）中强制禁止缓存captcha.php：

  location ~* /media/content/captcha.php {
      expires -1;
      add_header Cache-Control "no-store, no-cache, must-revalidate";
      add_header Pragma "no-cache";
  }
  

4. SESSION存储目录权限问题 #

服务器上PHP的SESSION存储目录（默认/tmp）若没有读写权限，会导致SESSION无法写入。

解决方法：

• 先查看当前SESSION存储路径：

  echo ini_get('session.save_path'); // 在表单页面输出路径
  

• 检查该目录的权限，确保运行PHP的用户（如www-data）拥有读写权限，必要时手动设置：

  chmod 770 /path/to/session-dir
  chown www-data:www-data /path/to/session-dir
  

5. 代码隐藏错误排查 #

虽然验证码图片能生成，但仍可能存在隐性错误导致SESSION写入逻辑未执行。

解决方法：

• 在captcha.php开头开启错误输出（仅调试使用）：

  error_reporting(E_ALL);
  ini_set('display_errors', 1);
  

• 查看服务器的PHP错误日志，排查是否有未捕获的警告或错误中断了代码执行。

内容的提问来源于stack exchange，提问作者mrclean