PHP 生成唯一 Hash 值函數：結合 uniqid、隨機字符與 SHA1 實現高熵值 ID

PHP 生成唯一 Hash 值函數：結合 uniqid、隨機字符與 SHA1 實現高熵值 ID

專案常需生成唯一標識 (訂單號、Token、檔案名、邀請碼)。本文分析常見方案優劣，提供一個兼顧唯一性、不可預測性、效能的最佳實踐函數。

一、方案對比

二、推薦實作：uniqid + 加密隨機 + SHA1

<?php
/**
 * 生成唯一、不可預測的 Hash ID
 *
 * @param int $randomBytes 隨機字節數 (建議 8-16)
 * @param string $algo 雜湊算法 (sha1, sha256, md5)
 * @return string 十六進位 Hash 字串
 */
function generateUniqueHash(int $randomBytes = 16, string $algo = 'sha1'): string {
    // 1. 基礎唯一性：微秒時間 + 進程 ID
    $base = uniqid('', true); // 更多熵值 (含微秒)

    // 2. 加密安全隨機字節 (PHP 7+ random_bytes, 5.6+ openssl_random_pseudo_bytes)
    try {
        $random = random_bytes($randomBytes);
    } catch (Exception $e) {
        // 降級方案 (不推薦生產環境)
        $random = openssl_random_pseudo_bytes($randomBytes, $strong);
        if (!$strong) {
            trigger_error('CSPRNG unavailable, fallback used', E_USER_WARNING);
        }
    }

    // 3. 合併並雜湊
    $data = $base . $random;
    return hash($algo, $data, false); // false = 十六進位小寫
}

// 使用範例
echo generateUniqueHash();        // 40 字元 SHA1
echo generateUniqueHash(16, 'sha256'); // 64 字元 SHA256
echo generateUniqueHash(8, 'md5');     // 32 字元 MD5
?>

三、設計考量解析

1. uniqid('', true)：第二參數 true 啟用「更多熵值」，輸出如 5f8c3a2b1d4e6.12345678，含微秒與 PID，比單純 uniqid() 難預測。
2. random_bytes()：PHP 7+ 內建 CSPRNG (密碼學安全偽隨機數生成器)，來源作業系統熵池 (/dev/urandom / CryptGenRandom)，不可預測性最強。
3. 合併再雜湊：將時間基唯一性與隨機性混合，再經單向雜湊函數「攤平」分佈，輸出定長、均勻分佈的 Hash。
4. 選擇 SHA1：160 位 (40 字元) 足夠大多數業務，比 MD5 (128 位) 更抗碰撞，比 SHA256 (256 位) 短。若需更高安全性 (如 Token) 用 SHA256。

四、進階：短 ID 生成 (Base62 編碼)

若需類 YouTube 短網址 (如 dQw4w9WgXcQ 11 字元)，可將隨機字節 Base62 編碼：

<?php
function generateShortId(int $bytes = 8): string {
    $random = random_bytes($bytes);
    $alphabet = '0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz';
    $base = strlen($alphabet);
    $num = gmp_init(bin2hex($random), 16); // 大整數
    $result = '';
    while (gmp_cmp($num, 0) > 0) {
        [$num, $rem] = gmp_div_qr($num, $base);
        $result = $alphabet[gmp_intval($rem)] . $result;
    }
    return str_pad($result, 11, $alphabet[0], STR_PAD_LEFT); // 固定長度
}
// 需啟用 gmp 擴充
?>

五、避坑指南

• 不要用 md5(time().rand())：rand() 非加密安全、時間可預測、極易碰撞。
• 不要用 uniqid() 當 Token：可暴力枚舉時間窗口破解。
• 資料庫唯一索引：無論生成算法多好，業務關鍵 ID (訂單號、用戶 ID) 必須在資料庫加 UNIQUE INDEX，捕獲 Duplicate entry 重試。
• 分散式系統：考慮 Snowflake 算法 (Twitter) 或 UUID v1/v7，包含時間戳、機器 ID、序列號，保證全域有序唯一。

六、現代替代：ramsey/uuid

composer require ramsey/uuid

use Ramsey\Uuid\Uuid;
$uuid = Uuid::uuid4()->toString(); // 標準 UUID v4 (隨機)
$uuid7 = Uuid::uuid7()->toString(); // UUID v7 (時間有序，適合資料庫主鍵)

生產專案強烈建議引入成熟庫，避免重複造輪子與安全隱患。

掌握唯一 ID 生成原理，根據業務場景 (長度、可讀性、有序性、安全性) 選擇合適方案，是後端工程師必備技能。