感谢某电商平台安全工程师feiyu跟我一起讨论这个漏洞的修复。以往在安全测试的过程中后台经常存在验证码不失效果造成的撞库问题，甚至在一些银行或者电商的登录与查存页面同样存在这个问题，一旦造成撞库无论对用户账号的安全性还是网站的负载都是巨大的挑战。其实造成问题的原因并不复杂，主要是研发在开发过程中缺少对安全的认知，造成的疏忽。
今天心血来潮自己写了个验证码来模拟下出现的问题，首先我们从前端页面开始分析：
<!DOCTYPE html> <html> <head> <meta chartset="utf-8"> </head> <body> <form method="post" action="form.php"> <p>验证码图片：<img src="http://www.likecs.com/captcha.php?r="<?php echo rand();?> /> <a href="javascript:void(0)">换一个</a></p> <p>输入内容：<input type="text" value="" /></p> <p><input type="submit" value="提交"/></p> </form> </body> </html>