PHP 隨機數函數深度對比：為什麼 mt_rand() 完勝 rand()？

核心結論：棄用 rand()，全面擁抱 mt_rand()

在現代 PHP 開發中，mt_rand() 應該是生成偽隨機數的首選。它基於 Mersenne Twister（梅森旋轉）演算法，速度比舊式 rand()（依賴 libc）快約 4 倍，隨機品質更高，且不受平台 RAND_MAX 限制。

效能與演算法差異

語法與用法完全一致

// 無參數：返回 0 ~ RAND_MAX (rand) 或 0 ~ mt_getrandmax() (mt_rand)
$n1 = rand();
$n2 = mt_rand();

// 指定範圍：包含 min 與 max
$n3 = rand(5, 15);     // 5~15
$n4 = mt_rand(5, 15);  // 5~15，推薦寫法

實測代碼：速度差異一目了然

<?php
$iterations = 1_000_000;

// rand()
$start = microtime(true);
for ($i = 0; $i < $iterations; $i++) {
    rand(1, 1000);
}
$randTime = microtime(true) - $start;

// mt_rand()
$start = microtime(true);
for ($i = 0; $i < $iterations; $i++) {
    mt_rand(1, 1000);
}
$mtRandTime = microtime(true) - $start;

echo "rand()  耗時: {$randTime:.4f} 秒\n";
echo "mt_rand() 耗時: {$mtRandTime:.4f} 秒\n";
echo "mt_rand() 快 " . round($randTime / $mtRandTime, 1) . " 倍\n";

典型輸出：

rand()  耗時: 0.1842 秒
mt_rand() 耗時: 0.0451 秒
mt_rand() 快 4.1 倍

常見誤區與最佳實踐

❌ 錯誤：手動呼叫 srand()/mt_srand()

PHP 4.2.0 起已自動以高熵值種子初始化，**手動播種反而會降低隨機性**（若種子來源單一）。

❌ 錯誤：用於密碼學/安全場景

兩者皆為偽隨機數產生器（PRNG），**不可用於金鑰生成、Token、密碼重設連結**等安全敏感場景。請改用：

• PHP 7+：random_int()、random_bytes()
• PHP 5.x：openssl_random_pseudo_bytes() 或 mcrypt_create_iv()

✅ 正確：日常業務隨機需求

• 驗證碼數字部分：mt_rand(1000, 9999)
• 隨機排序：shuffle($arr) 內部即使用 mt_rand
• 抽獎、A/B 測試分桶：mt_rand(1, 100) <= $rate
• 生成非加密唯一標識：mt_rand() . mt_rand() 組合

版本演進提醒

• PHP 7.1+：rand() 內部已改用 MT 演算法，成為 mt_rand() 別名，但為了代碼可讀性與向後相容，**仍建議顯式使用 mt_rand()**。
• PHP 8.2+：rand()、srand()、getrandmax() 棄用，未來版本將移除。

總結

除非維護極舊代碼（PHP < 4.2），**所有新專案請直接使用 mt_rand()**。它更快、更強、無平台差異，是 PHP 偽隨機數的「黃金標準」。