1. javaweb登錄三次失敗驗證碼怎麼實現
使用redis存儲，存儲當前登錄的用戶名與登錄失敗次數，超過三次就顯示驗證碼
session和cookie都不建議使用，建議服務端開啟驗證，瀏覽器端都可以繞過這些檢查
2. java web中生成的驗證碼為什麼不放在session
java web中session是服務端機制，是占伺服器的內存的，一個用戶可能會提取多個驗證碼那上千個用戶差點的伺服器就高壓了，一般都是一次傳遞，沒必要用session這個貴重的東西，session是在萬不得已的情況下存儲一些重要的用戶信息。
驗證碼只需要存放在客戶端，每次重新驗證即可。
3. java web 驗證碼生成後一般在什麼地方保存這個驗證碼存到資料庫還是怎麼地
說起驗證碼，關系它的是安全性，再聯繫到你的時效性，這就非session（本身是客戶端的唯一使用伺服器資源的憑證，而且是有時效限制的，用戶長期未訪問伺服器，這個session是就會被主動注銷掉）不能當此大任了，可用性不在話下，至於你說的加密這是畫蛇添足了。
依樓上所言，未免誤人，伺服器端是必須保存這個驗證碼的，就像我給你了一個驗證碼，你可以使用，我自己也得備份一下和你比對，不然那不就變成了：你說你的驗證碼是對的，你已經驗證過了，我就信任你了，那就等於沒有密碼，客戶端的一切安全認證都是不足為信的！