1. javaweb登录三次失败验证码怎么实现
使用redis存储，存储当前登录的用户名与登录失败次数，超过三次就显示验证码
session和cookie都不建议使用，建议服务端开启验证，浏览器端都可以绕过这些检查
2. java web中生成的验证码为什么不放在session
java web中session是服务端机制，是占服务器的内存的，一个用户可能会提取多个验证码那上千个用户差点的服务器就高压了，一般都是一次传递，没必要用session这个贵重的东西，session是在万不得已的情况下存储一些重要的用户信息。
验证码只需要存放在客户端，每次重新验证即可。
3. java web 验证码生成后一般在什么地方保存这个验证码存到数据库还是怎么地
说起验证码，关系它的是安全性，再联系到你的时效性，这就非session（本身是客户端的唯一使用服务器资源的凭证，而且是有时效限制的，用户长期未访问服务器，这个session是就会被主动注销掉）不能当此大任了，可用性不在话下，至于你说的加密这是画蛇添足了。
依楼上所言，未免误人，服务器端是必须保存这个验证码的，就像我给你了一个验证码，你可以使用，我自己也得备份一下和你比对，不然那不就变成了：你说你的验证码是对的，你已经验证过了，我就信任你了，那就等于没有密码，客户端的一切安全认证都是不足为信的！