如何使用 PHP 生成密码安全的随机数？ [复制]

Question

可能重复：
Secure random number generation in PHP

我们需要生成一个加密随机字符串作为身份验证令牌，它将与数据库中的会话数据相关联。我们正在使用 PHP，它似乎没有内置合适的随机数生成器。我们如何使用 php 生成长度为 N 的加密安全随机字符串？

另外请注意，由于我们应用程序的性质，shell_exec 不适用。

Answer 1

根据您的平台，您可以使用 /dev/urandom 或 CAPICOM。 this comment from Mark Seecof 很好地总结了这一点：

“如果您需要一些伪随机位用于安全或加密目的（例如，用于块密码的随机 IV，用于密码哈希的随机盐）mt_rand() 是一个糟糕的来源。在大多数 Unix/Linux 和/或 MS-Windows 平台上您可以从操作系统或系统库中获得更高等级的伪随机位，如下所示：

<?php
// get 128 pseudorandom bits in a string of 16 bytes

$pr_bits = '';

// Unix/Linux platform?
$fp = @fopen('/dev/urandom','rb');
if ($fp !== FALSE) {
    $pr_bits .= @fread($fp,16);
    @fclose($fp);
}

// MS-Windows platform?
if (@class_exists('COM')) {
    // http://msdn.microsoft.com/en-us/library/aa388176(VS.85).aspx
    try {
        $CAPI_Util = new COM('CAPICOM.Utilities.1');
        $pr_bits .= $CAPI_Util->GetRandom(16,0);

        // if we ask for binary data PHP munges it, so we
        // request base64 return value.  We squeeze out the
        // redundancy and useless ==CRLF by hashing...
        if ($pr_bits) { $pr_bits = md5($pr_bits,TRUE); }
    } catch (Exception $ex) {
        // echo 'Exception: ' . $ex->getMessage();
    }
}

if (strlen($pr_bits) < 16) {
    // do something to warn system owner that
    // pseudorandom generator is missing
}
?>

注意：在您的代码中尝试读取 /dev/urandom 和尝试访问 CAPICOM 通常是安全的，尽管两者都会在对方平台上静默失败。把它们都放在那里，这样你的代码就更便携了。”

Answer 2

在我脑海中浮现：用微​​时间，将它乘以微时间 % 100 并在收到结果的 sha1 上做一些随机操作。

Answer 3

uniqid 呢？文档有一个如何将其用于 cookie/会话的示例。