最稳妥的订单号生成方案是uniqid('', true)叠加random_int()或mt_rand()并截取/哈希；单纯uniqid()高并发下易重复，因仅依赖微秒级时间戳。
用 uniqid() + 微秒+随机数组合最稳妥
单纯靠 uniqid() 生成的订单号在高并发下大概率重复——它只基于当前时间戳（微秒级），同一微秒内多次调用就会撞车。必须叠加干扰因子。
推荐做法是：uniqid('', true) 开启熵值（返回带额外随机字节的字符串），再拼接 mt_rand() 或 random_int() 的结果，最后截取或哈希成固定长度。
-
uniqid('', true)比uniqid()多约13位随机字符，显著降低碰撞概率 - 避免用
time()或date('YmdHis')开头——秒级精度太粗，同秒下单多时直接重复 - 如果系统有 Redis，可用
INCR配合日期前缀（如ORD_20240520_000001），但需注意单点故障和重置风险
MySQL 自增ID不能直接当订单号用
自增主键暴露业务量、可预测、不支持分库分表，且订单创建和写入数据库不是原子操作——先生成ID再插入失败时，ID就空耗了，还可能被恶意枚举。
真要用ID衍生，得走“插入后生成”逻辑：先插入空订单（状态为 pending），用 lastInsertId() 拿到ID，再更新订单号字段。但这样多一次UPDATE，延迟更高。
立即学习“PHP免费学习笔记（深入）”；
- 不要在事务外用
SELECT MAX(id)+1—— 并发下必然重复 - 如果用雪花算法（Snowflake），PHP需引入第三方库（如
symfony/uid），且必须配置好机器ID和序列号，否则本地测试和线上行为不一致 - 订单号一旦生成，绝不允许修改；数据库字段建议设为
UNIQUE约束，让DB兜底报错
订单号里要不要带日期或业务标识
带是有好处的：便于人工识别来源（如 WEB20240520123456789）、日志排查快、DB分表路由方便。但要注意格式统一和长度控制。
常见错误是把 date('ymdHis') 当前缀——2038年问题、跨年分表混乱、毫秒缺失导致同秒重复。更安全的是 date('Ymd') + 6位随机/递增码（用Redis INCRBY 保证当日唯一）。
- 别用中文、特殊符号或空格——支付渠道、日志系统、URL传输都可能出问题
- 长度建议控制在16–24位之间：太短易撞，太长影响索引性能和显示体验
- 如果对接微信/支付宝，它们要求订单号不能含字母（纯数字），那就只能用
random_int(100000, 999999)+ 时间戳拼接后取模或重试
用 spl_object_hash() 或 md5(microtime(true).mt_rand())？
不推荐。前者本质是对象内存地址哈希，仅限当前请求生命周期，无法持久化校验；后者虽看似随机，但 md5() 输出32位十六进制，包含字母，且无业务上下文，查问题时完全看不出归属。
真正需要的是「可读性 + 唯一性 + 可追溯性」三者平衡。一个生产可用的生成函数长这样：
function generateOrderNo(): string
{
$prefix = 'ORD' . date('ymd');
$random = str_pad(random_int(0, 999999), 6, '0', STR_PAD_LEFT);
$micro = substr(md5(microtime(true) . random_int(0, 9999)), 0, 6);
return $prefix . $random . $micro;
}
注意：random_int() 必须启用，mt_rand() 在PHP 7.2+ 已不推荐用于安全场景；每次调用都要确保 microtime(true) 和随机数不复用。
最麻烦的其实是测试——本地压测时容易忽略时钟精度和随机数种子，上线后才暴露出小概率重复。所以生成逻辑一定要加 UNIQUE 索引，并捕获 SQLSTATE[23000] 错误做重试。
