PHP中的随机性——你觉得自己幸运吗？

发表于
把一切平凡的事做好即不平凡，把一切简单的事做好即不简单。
PHP 5没有提供一种简单的机制来生成密码学上强壮的随机数，但是PHP 7通过引入几个CSPRNG函数来解决了这个问题。 ### 什么是CSPRNG

引用维基百科,一个密码学上安全的伪随机数发生器（Cryptographically Secure Pseudorandom Number Generator 缩写CSPRNG）是一个伪随机数生成器（PRNG）,其生成的伪随机数适用于密码学算法。

CSPRNG可能主要用于:

密钥生成（例如,生成复杂的密钥）
为新用户产生随机的密码
加密系统
获得高级别安全性的一个关键方面就是高品质的随机性

PHP7 中的CSPRNG

PHP 7引入了两个新函数可以用来实现CSPRNG： random_bytes 和 random_int。

random_bytes 函数返回一个字符串，接受一个int型入参代表返回结果的字节数。

例子：

1
2
3
4
$bytes = random_bytes('10');
var_dump(bin2hex($bytes));
//possible ouput: string(20) "7dfab0af960d359388e6"
random_int 函数返回一个指定范围内的int型数字。

例子：

1
2
var_dump(random_int(1, 100));
//possible output: 27

后台运行环境

以上函数的随机性不同的取决于环境：

在window上，CryptGenRandom()总是被使用。
在其他平台，arc4random_buf()如果可用会被使用（在BSD系列或者具有libbsd的系统上成立）
以上都不成立的话，一个linux系统调用getrandom(2)会被使用。
如果还不行，/dev/urandom 会被作为最后一个可使用的工具
如果以上都不行，系统会抛出错误
一个简单的测试

PHP5 呢

缺省情况下，PHP5 不提供强壮的随机数发生器。实际上，还是有选择的比如 openssl_random_pseudo_bytes(), mcrypt_create_iv() 或者直接使用fread()函数来使用 /dev/random 或 /dev/urandom 设备。也有一些包比如 RandomLib 或 libsodium.

如果你想要开始使用一个更好的随机数发生器并且同时准备好使用PHP7，你可以使用Paragon Initiative Enterprises random_compat 库。 random_compat 库允许你在 PHP 5.x project.使用 random_bytes() and random_int()

这个库可以通过Composer安装：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
composer require paragonie/random_compat
require 'vendor/autoload.php';
$string = random_bytes(32);
var_dump(bin2hex($string));
// string(64) "8757a27ce421b3b9363b7825104f8bc8cf27c4c3036573e5f0d4a91ad2aaec6f"
$int = random_int(0,255);
var_dump($int);
// int(81)
//random_compat 库和PHP7使用不同的顺序:

fread() /dev/urandom if available
mcrypt_create_iv($bytes, MCRYPT_CREATE_IV)
COM('CAPICOM.Utilities.1')->GetRandom()
openssl_random_pseudo_bytes()

想知道为什么是这个顺序建议阅读 documentation.

这个库的一个简单应用用来产生密码：

1
2
3
4
5
6
7
8
9
$passwordChar = '0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ';
$passwordLength = 8;
$max = strlen($passwordChar) - 1;
$password = '';
for ($i = 0; $i < $passwordLength; ++$i) {
    $password .= $passwordChar[random_int(0, $max)];
}
echo $password;
//possible output: 7rgG8GHu

总结

你总是应该使用一个密码学上安全的伪随机数生成器，random_compat 库提供了一种好的实现。

如果你想要使用可靠的随机数据源，如你在本文所见，建议尽快使用 random_int 和 random_bytes.

http://www.codeceo.com/article/php-random.html