PHP 生成隨機密碼五大演算法對比：效能、安全性與實戰選型

隨機密碼生成是用戶註冊、密碼重置、API Token、臨時授權碼等場景的高頻需求。本文對比五種主流演算法：ASCII 碼隨機、字符集索引、陣列隨機鍵、時間哈希截取、洗牌插入關鍵字，從熵值、效能、可讀性、安全性四維度分析，給出生產環境選型建議。

演算法一：ASCII 碼直接隨機 (chr + mt_rand)

function create_password_v2(int $length = 8): string {
    $chars = 'abcdefghijkmnpqrstuvwxyzABCDEFGHIJKLMNPQRSTUVWXYZ23456789!@#$%^&*';
    $pwd = '';
    $max = strlen($chars) - 1;
    for ($i = 0; $i < $length; $i++) {
        $pwd .= $chars[mt_rand(0, $max)];  // 陣列訪問比 substr 快
    }
    return $pwd;
}

• 字符池：可自定義，移除易混淆字符 (l/1/I/O/0)
• 熵值：取決於字符池大小，如 72 字符 → log2(72^8) ≈ 49.3 bits
• 優點：可讀性強、符合密碼策略要求 (大小寫/數字/特殊字符)

演算法三：array_rand() 陣列隨機鍵

function create_password_v4(int $length = 8): string {
    return substr(md5(microtime(true)), 0, $length);
}

• 字符池：僅 16 進制字符 0-9a-f (16 個)
• 熵值：log2(16^8) = 32 bits，極低
• 可預測性：時間戳可枚舉，MD5 無隨機性來源
• 結論：極不安全，僅作非安全場景臨時標識

演算法五：洗牌 + 關鍵字插入 (高可讀性、可控熵)

function bench(callable $fn, int $iterations = 100000): float {
    $start = microtime(true);
    for ($i = 0; $i < $iterations; $i++) $fn(6);
    return microtime(true) - $start;
}

echo "v1 ASCII: " . bench('create_password_v1') . "s\n";  // ~0.095s
echo "v2 字符集: " . bench('create_password_v2') . "s\n"; // ~0.092s
echo "v3 array_rand: " . bench('create_password_v3') . "s\n"; // ~0.175s
echo "v4 MD5: " . bench('create_password_v4') . "s\n";   // ~0.034s (最快但最不安全)
echo "v5 洗牌: " . bench('create_password_v5') . "s\n";  // ~0.068s (最快安全方案)

效能結論

1. v5 洗牌法最快：單次 str_shuffle 替代多次 mt_rand
2. v1/v2 循環法次之：差異微小，$chars[mt_rand()] 比 substr 略快
3. v3 array_rand 最慢：內部實現較重，且不適用密碼生成
4. v4 MD5 最快但不可用：安全性為零

安全性深度分析：隨機數來源很重要

生產級安全密碼生成 (PHP 7+)

密碼策略合規檢查

隨機密碼生成看似簡單，實則關係帳號體系安全根基。堅持「加密安全隨機源 + 可配置字符集 + 策略合規驗證」三原則，拒絕 mt_rand/time()/md5() 等弱隨機來源，是專業開發者的底線。