PHP 從指定字符集生成隨機字符串：最佳實踐與安全增強

基本實現：自定義字符池隨機取樣

常見需求如生成驗證碼、臨時密碼、唯一標識等。核心邏輯：定義字符池，循環隨機抽取字符拼接。

<?php
function randomString($len, $charset = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789!@#$%^&*()') {
    $str = '';
    $maxIndex = strlen($charset) - 1;
    for ($i = 0; $i < $len; $i++) {
        $str .= $charset[random_int(0, $maxIndex)];
    }
    return $str;
}

// 使用範例
echo randomString(16);          // 預設字符集
echo randomString(8, '0123456789'); // 純數字驗證碼
?>

關鍵改進點

• 棄用 rand()/srand()：不可預測性不足，改用 random_int() (PHP 7+) 或 openssl_random_pseudo_bytes() 獲取加密級隨機數。
• 移除 strlen() 重複調用：預先計算字符池長度。
• 支援自定義字符集：預設包含大小寫字母、數字、常見符號，滿足密碼複雜度要求。
• 避免模數偏差：random_int(0, $maxIndex) 保證均勻分佈。

進階場景：唯一標識生成

若需極低碰撞概率的唯一 ID，推薦組合時間戳與隨機數：

function uniqueId($prefix = '') {
    return $prefix . bin2hex(random_bytes(8)) . substr(microtime(), 2, 6);
}

或直接使用 uniqid('', true)（含微秒）。

安全提醒

切勿用此類函數生成加密金鑰、JWT Secret 等高敏感值，請改用 random_bytes()、openssl_random_pseudo_bytes() 或專用庫（如 paragonie/random_compat）。