轉載自：【天海博客】
🧩 一、前言
在上一篇《自己寫的驗證碼才最安全：WordPress登錄防護指南》文章中，我們為 WordPress 登錄頁添加了一個數學題驗證碼功能。它就像一道小測驗，用户必須答對“3 × 2”這樣的問題，才能繼續登錄流程。
這一步已經大大提升了網站的安全性，讓機器人和腳本難以通過驗證。但互聯網世界並不太平，“道高一尺，魔高一丈”，我們還需更進一步，給驗證碼加上一層“盔甲”。
🔍 二、形勢分析：為什麼需要加密驗證碼？
“網絡安全是一場沒有終點的馬拉松。”
在當今網絡環境中，攻擊者常常通過：
- 中間人竊聽（MITM）
- Session 劫持
- 暴力破解嘗試
來繞過驗證碼機制。而驗證碼本身如果以明文形式存儲或傳輸，就可能成為突破口。
加密的好處：
- 防止 Session 中的答案被偽造
- 提升系統對抗逆向工程的能力
- 即使攻擊者獲取了原始數據，也無法直接使用
正如古代城池設防層層遞進，現代網站安全也需“縱深防禦”。\
MD5，正是我們今天要使用的那層“護盾”。
🛡️ 三、認識 MD5：一個經典卻仍在廣泛使用的加密工具
MD5 是一種哈希算法，它的核心特點是：
- 輸入任意長度的數據 → 輸出固定長度的字符串（通常是 32 位十六進制）
- 相同輸入始終輸出相同結果
- 不同輸入幾乎不可能生成相同輸出（理想狀態）
✅ 優點：
- 簡單高效，適合快速校驗
- 廣泛支持，PHP 內置函數即可調用
- 可用於生成唯一標識、防止篡改等場景
⚠️ 缺點：
- 不可逆（無法還原原文）
- 已知碰撞漏洞，不適合高強度加密場景（如密碼存儲）
- 易被彩虹表破解（需配合 salt 使用）
雖然 MD5 已不再推薦用於密碼保護，但在驗證碼比對這類輕量級場景中，它仍然具備實用價值。
🔐 四、實戰操作：如何將 MD5 應用於驗證碼驗證流程？
我們要實現的目標是：
用户提交的答案先進行 MD5 加密，再與服務器端加密後的答案進行比對，確保二者一致才允許登錄。
步驟如下：
1. 生成數學題時，將正確答案進行 MD5 加密並保存到 Session
function math_Operation_captcha() {
// 生成數學題邏輯...
$result = $num1 + $num2;
session_start();
$_SESSION['captcha_result_md5'] = md5((string)$result);
return "$num1 + ?";
}
2. 驗證用户輸入時，同樣進行 MD5 加密後比對
這樣，即使攻擊者獲得了 Session 數據，也無法直接偽造答案。
🧪 五、開啓調試模式，確認驗證碼是否成功加密
為了確保我們的修改生效，可以打開 WordPress 的調試日誌功能。
啓用調試日誌的方法：
編輯 wp-config.php 文件，加入以下內容：
define('WP_DEBUG', true);
define('WP_DEBUG_LOG', true);
define('WP_DEBUG_DISPLAY', false);
然後，在驗證碼插件的校驗驗證碼時添加日誌記錄：
error_log("【驗證碼】用户輸入：" . sanitize_text_field($_POST['operation_captcha']));
error_log("【驗證碼】加密值：" . md5(sanitize_text_field($_POST['operation_captcha'])));
訪問 /wp-content/debug.log 查看日誌文件，確認：
- 是否記錄了加密前後的內容
- 是否在錯誤時跳轉正確
🎉 六、結語
為驗證碼增加 MD5 加密，不是為了打造堅不可摧的堡壘，而是為了讓攻擊者多走幾步彎路，為你的系統爭取寶貴的時間窗口。
在這個信息流轉迅速的時代，每一分小心思都可能是你抵禦風險的關鍵。
