本文介绍使用 go 语言生成符合安全要求的 6 位短信/邮箱验证码的两种方法，重点推荐基于 crypto/rand 的加密安全方案，并提供完整可运行代码、原理说明与关键注意事项。
本文介绍使用 go 语言生成符合安全要求的 6 位短信/邮箱验证码的两种方法，重点推荐基于 crypto/rand 的加密安全方案，并提供完整可运行代码、原理说明与关键注意事项。
在用户注册、登录或敏感操作（如密码重置、手机号绑定）中，6 位数字验证码是常见的身份验证手段。其核心要求是：随机性高、不可预测、无偏倚、满足密码学安全强度。若使用 math/rand（如问题中所示），虽能生成看似随机的数字，但其底层基于确定性种子（如 time.Now().UnixNano()），易被时间侧信道攻击推测，绝不适用于生产环境中的验证码生成。
✅ 推荐方案：使用 crypto/rand（密码学安全伪随机数生成器）crypto/rand 从操作系统熵池（如 Linux 的 /dev/urandom）读取真随机源，具备抗预测性与统计不可区分性，是 Go 官方推荐的安全随机数方案。
以下是简洁、健壮、可复用的实现：
package main
import (
"crypto/rand"
"fmt"
"io"
)
// 数字字符表（0–9）
var digits = [...]byte{'0', '1', '2', '3', '4', '5', '6', '7', '8', '9'}
// GenerateCode 生成指定长度的纯数字验证码
func GenerateCode(length int) string {
if length <p>? 关键说明与最佳实践：</p>
-
io.ReadFull替代io.ReadAtLeast：前者确保读满length字节，语义更清晰；后者在读取不足时会 panic，而ReadFull在失败时返回明确错误，便于统一处理（本例中 panic 仅作演示，生产环境建议返回 error）。 -
避免
r.Intn(10)类调用：crypto/rand不提供类似Intn的便捷方法，直接对原始字节取模（b[i] % 10）更高效且无偏差（因len(digits)=10是 256 的约数，模运算均匀）。 -
字符表定义为
...byte数组而非 slice：编译期固定长度，零分配开销，提升性能。 -
无需手动 seed 或初始化：
crypto/rand.Reader是全局、线程安全、即用型的加密随机源。
⚠️ 注意事项：
- 切勿在 Web 服务中缓存或复用同一验证码多次——每次请求必须生成新码，并严格设置过期时间（通常 5–10 分钟）与使用次数限制（如仅允许验证 1 次）。
- 验证码应通过安全通道（HTTPS）传输，后端需校验时效性、防重放、防暴力枚举（建议配合 IP/设备指纹限流）。
- 若需支持字母+数字混合验证码（如 6 位 alphanumeric），只需扩展
digits表为table = [...]byte{'0','1',..., 'a','b',...'z'}并调整模运算分母即可，原理完全一致。
综上，crypto/rand 是 Go 中生成安全验证码的黄金标准。它简单、可靠、无依赖，且与 Go 生态无缝集成——请始终优先选用它，而非 math/rand。
