您现在的位置：程式碼之家 >> 編程語言 > >> 網頁程式設計 >> PHP 程式設計 >> PHP 相關知識

PHP 隨機數生成與應用場景深度解析

編輯：PHP 相關知識

前言

隨機數在 PHP 開發中無處不在，從簡單的驗證碼、隨機推薦文章，到複雜的加密演算法、負載均衡策略，皆仰賴隨機數的品質與效能。本文將系統梳理 PHP 隨機數的生成函數、特性差異，並探討實務應用場景與安全性考量。

核心隨機函數比較

函數	PHP 版本	隨機來源	密碼學安全	效能	適用場景
`rand()`	>= 4	系統 C library (LCG)	否	快	一般非安全需求（如隨機顯示、遊戲邏輯）
`mt_rand()`	>= 4	Mersenne Twister	否	極快	高效能非安全需求（大量隨機取樣、模擬）
`random_int()`	>= 7.0	OS CSPRNG (/dev/urandom, CryptGenRandom)	是	中	密碼學安全需求（Token、金鑰、密碼重設碼）
`random_bytes()`	>= 7.0	OS CSPRNG	是	中	生成二進位隨機資料（IV、Salt、API Key）
`openssl_random_pseudo_bytes()`	>= 5.3 (需 OpenSSL)	OpenSSL CSPRNG	是	較慢	舊版 PHP 相容性需求的安全隨機

常見應用場景實作範例

1. 產生 6 位數字驗證碼（非安全）

$code = mt_rand(100000, 999999);

2. 產生密碼重設 Token（安全）

$token = bin2hex(random_bytes(32)); // 64 字元十六進位字串

3. 從陣列隨機抽取 N 個不重複元素

$items = ['a', 'b', 'c', 'd', 'e'];
$count = 3;
$keys = array_rand($items, $count);
$result = array_intersect_key($items, array_flip($keys));

4. 加權隨機抽獎演算法

function weightedRandom(array $weights) {
    $total = array_sum($weights);
    $rand = mt_rand(1, $total);
    $accum = 0;
    foreach ($weights as $key => $weight) {
        $accum += $weight;
        if ($rand <= $accum) {
            return $key;
        }
    }
}
// 用法：['grand_prize' => 1, 'first_prize' => 5, 'consolation' => 100]

安全性最佳實踐

永不使用 rand() / mt_rand() 產生密碼、Token、Session ID、加密金鑰，其輸出可預測，易遭暴力破解。
PHP 7+ 專案強制使用 random_int() / random_bytes()，並捕獲 Exception 處理熵源不足情況。
舊版 PHP (5.6 及以下) 若無法升級，請使用 openssl_random_pseudo_bytes() 並檢查第二參數 $crypto_strong 為 true。
種子管理：mt_srand() 僅供測試複現用途，生產環境切勿手動設定種子，讓 PHP 自動從高熵源初始化。

效能優化提示

大量生成非安全隨機數時，mt_rand() 比 rand() 快 4 倍以上。
若需批次產生安全隨機位元組，一次呼叫 random_bytes($n * 32) 再切割，比迴圈呼叫 random_bytes(32) 快得多（減少系統呼叫開銷）。
避免在迴圈中重複呼叫高開銷函數，改用陣列操作或向量化處理。