<img src="code.png" onclick="this.src ={$maccms.path_tpl}picture/captcha.png"
我们一般是后端语言生成随机验证码的图片流，并记录当前生成的图片数值。前台就直接用img元素显示这个图片流，等用户提交后，就判断用户填写的验证码是否跟后台记录的图片数值相同，这个操作一般不需要javascript来处理。涉及到安全方面的东西，我们一般不用javascript来实现。验证码在我们的后台代码生成，也就是在java代码里生成。然后在页面上显示出来，当用户输入验证码后再检验用户输入的验证码是否和后台生成的验证码相同，比较的时候可以通过ajax去比较，坚决反对用个隐藏域来保存后台生成的验证码，因为这样很容易被攻击
