驗證碼被繞過的處理方法_PHP教程

我們先來分析下，有驗證碼發布的流程
1，顯示表單
2，顯示驗證碼（條用產生驗證碼的程式）， 將驗證碼加密後放進 session 或者 cookie
3，使用者提交表單
4，核對驗證碼無誤，資料合法後 寫入資料庫教程完成

使用者如果再發布一條，正常情況下，會再次訪問表單頁面，驗證碼圖片被動 更新， session 和 cookie 也就跟著變了
但是灌水機操作 不一定非要使用表單頁面，它可以直接 類比post 向服務端程式 發送資料；這樣驗證碼程式沒有被調用，當然session和cookie儲存的加密驗證碼就是上次的值，也就沒有更新，這樣以後無限次的通過post直接發送的資料 ，而不考慮驗證碼，驗證碼形同虛設！

所以，在核對驗證碼後 先將 session和cookie的值清空，然後做資料合法性判斷，然偶入庫！
這樣 一個漏洞就被補上了！

if ( md5($_post['vcode']) == $_session['vcode'] ) {
$_session['vcode']='';//這句非常重要
} else {
exit '驗證碼不對！';
}
//接下來的處理
......
?>

產生驗證碼圖片的程式

session_start();
......
$v = new authcode();
$vcode = $v->getauthcode();
$_session['vcode'] = md5($vcode );
........
?>

表單頁面

驗證碼是怎樣被繞過的

http://www.bkjia.com/PHPjc/632363.htmlwww.bkjia.comtruehttp://www.bkjia.com/PHPjc/632363.htmlTechArticle我們先來分析下，有驗證碼發布的流程 1，顯示表單 2，顯示驗證碼（條用產生驗證碼的程式）， 將驗證碼加密後放進 session 或者 cookie 3，...

