Добрый день!

Сейчас практически везде используется проверочный код при регистрации, подаче сообщения и 
т.д.

Существуется множество способов это сделать:
1.Проверять введенный код с переменной в кукисах
2.Проверять введенный код с переменной в сессии
3.Проверять введенный код с результатом расшифровки скрытого поля на форме

И еще наверно есть варианты.

Собственно вопрос как лучше для безопасности? Кто как использует?
Допустим код на картинке появляется результатом работы скрипта
<img src=code.php>, название скрипта и его расположение может узнать пользоватеть элементарно вскрыв исходный код старницы, и дальше будет принимать меры по извлечению этого скрипта с сервера, чтобы узнать алгоритм. Хороша ли эта реализаци

Да. Хеш надо сохранять в недоступном для клиента месте. Сессия на стороне сервера вполне подходит.

А зачем кому-то ломать каптчу, если у вас сервер дырявый и можно получить доступ к скрипту? Не там ищите проблемы.

Проверять введенный код с переменной в сессии.
Остальное - вообще не способы, а решето.

И это вопрос никак не для профи.