PHP8.1 生成随机字符串，random_bytes 生成安全随机字符串代码示例-php教程-PHP中文网

不能用 mt_rand 或 rand 生成安全随机字符串，因为它们非密码学安全、输出可预测；php 7.0+ 应使用 random_bytes 调用系统熵源，并通过 bin2hex 或 base64url 编码转换为安全可读字符串。

php8.1 生成随机字符串，random_bytes 生成安全随机字符串代码示例

为什么不能用 `mt_rand` 或 `rand` 生成安全随机字符串

因为它们不是密码学安全的伪随机数生成器（CSPRNG），输出可被预测，用于 token、密码重置链接、API key 等场景存在风险。PHP 7.0+ 推荐用 random_bytes，它直接调用操作系统级熵源（如 /dev/urandom 或 CryptoAPI），保证不可预测性。

常见错误现象：用 base64_encode(str_shuffle('abc...')) 或循环拼接 mt_rand(0,255) —— 这类写法看似“随机”，但熵值极低，且可能因字符集截断导致分布不均。

random_bytes($length) 返回的是二进制字节串，不能直接当字符串用（尤其含 \0 或控制字符）
若需可读字符串（如 URL-safe token），必须做编码转换，且注意去除填充符或非预期字符
长度单位是字节，不是字符数；random_bytes(16) 是 16 字节，base64 编码后约 24 字符（含 = 填充）

生成 URL-safe 的随机字符串（推荐方案）

用 bin2hex 或 base64_encode + 清理，但后者需手动去掉 +、/ 和 = —— 更稳妥是用 strtr 替换，或直接用 bin2hex 得到纯小写十六进制字符串。

// 生成 32 字符的 hex 字符串（对应 16 字节随机数据）
$token = bin2hex(random_bytes(16));
<p>// 生成 22 字符的 base64url 字符串（无填充、URL-safe）
$bytes = random_bytes(16);
$token = strtr(rtrim(base64<em>encode($bytes), '='), '+/', '-</em>');</p>

注意：base64_encode 输出含 +、/、=，在 URL 或文件名中需转义；strtr 替换比 str_replace 更快，且 rtrim(..., '=') 去掉末尾填充避免长度波动。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

要固定长度？选 bin2hex 最稳：bin2hex(random_bytes(16)) 恒为 32 字符
要更高熵密度（更短字符串承载同等安全性）？用 base64url，但务必替换 +// 并去 =
别用 base64_decode 反向验证——你不需要还原，只需要唯一性和不可预测性

遇到 `Exception: Unable to generate random bytes` 怎么办

这通常发生在 PHP 运行环境缺乏 CSPRNG 支持时，比如容器里没挂载 /dev/urandom，或 Windows 上旧版 PHP 未启用 CryptoAPI。

先确认 PHP 版本 ≥ 7.0（PHP 8.1 没问题），再检查 random_bytes 是否可用：function_exists('random_bytes')
Docker 用户：确保容器有读取 /dev/urandom 权限（默认一般都有，除非显式禁用）
Windows 用户：PHP 7.2+ 默认走 BCryptGenRandom，无需额外配置；若仍报错，检查 php.ini 中是否禁用了 openssl 扩展（random_bytes 在 OpenSSL 不可用时会降级失败）
绝对不要 fallback 到 mt_rand —— 宁可抛异常，也不要生成不安全字符串

生成指定字符集的随机字符串（如仅大小写字母+数字）

random_bytes 本身不支持自定义字符集，必须自己映射。关键是：不能用模运算（%）截断，否则破坏均匀分布；应使用拒绝采样（rejection sampling）。

$chars = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789';
$bytes = random_bytes(32); // 多取些字节，提高采样效率
$len = strlen($chars);
$token = '';
for ($i = 0; $i <p>但上面的 <code>%</code> 写法仍有轻微偏差（当 <code>256 % $len !== 0</code> 时）。严格做法是：</p>