PHP 產生隨機字串三大演算法實作與效能比較

應用場景

使用者註冊初始密碼、重設密碼 Token、API Key、驗證碼、訂單號等皆需固定長度、高熵值、可自訂字元集的隨機字串。

方法一：ASCII 碼範圍 + chr()

直接在可列印字元範圍（33~126）隨機取整數，轉字元。

優點：程式碼極短、無需預定字元陣列、記憶體佔用極低。
缺點：含特殊符號可能不符合某些系統密碼規則、分布不完全均勻（mt_rand 偏差極小）。

方法二：預定字元池 + 索引隨機取樣（推薦通用）

定義允許字元字串，隨機索引取字元。

?';
    $maxIndex = strlen($charset) - 1;
    $pwd = '';
    for ($i = 0; $i < $length; $i++) {
        $pwd .= $charset[mt_rand(0, $maxIndex)];
    }
    return $pwd;
}

// 使用範例
echo generatePasswordV2(12);                    // 預設字元集
echo generatePasswordV2(6, '0123456789');       // 純數字驗證碼
echo generatePasswordV2(32, '0123456789abcdef'); // 16 進位 Token
?>

優點：完全可控字元集、分布均勻、效能極佳、業界最常用。
缺點：需手動維護字元集字串。

方法三：array_rand() 從陣列抽樣（不推薦用於密碼）

致命缺點：array_rand() 不重複抽樣，導致字元不可重複，嚴重降低熵值（8 字元最多 8 種字元），不適合密碼/Token 生成。效能也較差。

效能基準測試（PHP 8.2，生成 10 萬次 16 字元）

結論：V2 最快且最靈活，V1 略慢（chr 函數呼叫開銷），V3 又慢又不安全。

安全等級升級：使用 random_bytes() / random_int()（PHP 7+）

mt_rand() 非加密安全，可預測。安全敏感場景（密碼、Token、API Key）必須使用 CSPRNG：

最佳實務總結表

結語

隨機字串生成看似簡單，字元集控制、熵值保證、加密安全性三大面向缺一不可。日常業務用 V2 字元池索引法；安全敏感場景必須升級 CSPRNG (random_bytes)。棄用 array_rand、uniqid、md5(time()) 等不安全寫法。