之前写代码一直都是一个习惯，验证码输入错误，直接给出一个提示

直到那天看到乌云报告了一个大网站的，猜密码漏洞，才明白过来

验证码错误时，一定要把session中存的验证码销毁。