通过扩展的 php 生成 4 位令牌

Question

您好，这个伟大的社区，

我写了以下几行代码。

mysql_query("DELETE FROM token_db WHERE date < ".strtotime('-1 day'));

$token = mt_rand(1000, 9999);                                                                      
$result = mysql_query("SELECT token FROM token_db WHERE token = $token");

while (mysql_num_rows($result) == 1)
{
$token = mt_rand(1000, 9999);                                                                      
$result = mysql_query("SELECT token FROM token_db WHERE token = $token");
}

mysql_query("INSERT INTO token_db (date,token) VALUES('$date','$token')");

这个脚本生成我最大存在的令牌。 24 小时在数据库中。如果所有令牌（例如 4 位）都在使用中，我如何添加将令牌扩展一位（例如 5 位）的可能性？谢谢！

Answer 1

您需要对令牌数据库执行计数并计数令牌条目。

 mysql_query("SELECT count(token) FROM token_db");

如果他们达到预定义的限制，例如 9000 或您的 9999，那么只需

 $token = mt_rand(10000, 99999);    

但如果您确实期望更大的数字以避免处理您的情况或多或少常见的场景，我宁愿建议增加您的令牌大小。

您的典型用例是什么？您已经期待更大的尺寸了吗？

无论如何，您的熵很小。使用完整的数据库（比如 9000 个条目），您将很难找到有效的令牌。应用程序将挂起，用户将不得不等待您的脚本敲击数据库。

如果您期望有很多令牌，您可以考虑使用不带日期的令牌预先填充数据库。然后，您可以检索一组未设置日期的随机令牌（LIMIT 1 或 10）并使用它。

您尝试通过此方法实现可扩展性，但我怀疑它是否能正常工作，除非您在数据库仍有 50% 的“空间”时增加令牌数字大小

编辑：另一个问题可能值得一提：您是否通过这样的令牌系统保护任何重要资源？您选择了一个非常小的令牌，已经讨论了令牌冲突，但遗漏的是用户猜测令牌的能力。 如果您通过这种方式保护敏感信息并从 url 读取令牌（例如，您通过邮件将生成的令牌发送给用户等），那么恶意用户可能会通过猜测令牌来冒充另一个用户。 如果您的 4 位数代币用完，这很可能会发生。这就是 uniqid 和其他大型熵算法发挥作用的地方。

Answer 2

我猜是这样的：

$result = mysql_query("SELECT count(id) as numRows FROM token_db"); // credit for the edit to Samuel
$fetch = mysql_fetch_assoc($result);
$foundRows = $fetch['numRows'];

$token = $foundRows===(9999-1000) ? mt_rand(10000, 99999) : mt_rand(1000, 9999); 

我添加了大括号以阐明发生了什么，并使用 9999-1000 向您展示了我是如何得到这个数字的（mt_rand 的最大最小值）。如果将其设置为 id 列，因为它们通常是索引、整数和快速 :)

您在此之前进行了测试。

和往常一样：开始使用 mysql*i* 函数

---

更好、更持久的解决方案是uniqid()：

$token = uniqid();

这将永远是一个唯一的 id（惊喜）。不需要检查可能会变得复杂并且没有最大令牌（至少在很长一段时间内不会），