PHP 8.2+ 直接使用 random_bytes() 即可获得操作系统级硬件随机数源（HRNG）数据，无需手动干预；低于 8.2 应升级或确保 openssl 扩展启用以保障 HRNG 回退。
PHP 8.2+ 直接用 random_bytes() 就行，它默认走 HRNG
PHP 8.2 起，random_bytes() 在 Linux/macOS 上自动优先使用 /dev/random（或 /dev/urandom，内核已保证其密码学安全），Windows 则调用 CryptGenRandom / BCryptGenRandom —— 全是操作系统级硬件随机数源（HRNG），无需手动干预。
常见错误现象：mcrypt_create_iv($len, MCRYPT_DEV_URANDOM)（已废弃）、手写 file_get_contents('/dev/urandom')（没做错误检查、不可移植）、或误以为 rand() / mt_rand() 能替代（它们是伪随机，完全不适用加密场景）。
- 只要你在 PHP 8.2+ 环境，
random_bytes(16)返回的就是 HRNG 数据，别自己绕路 - 低于 8.2？升级是首选；若无法升级，确保安装了
openssl扩展，random_bytes()会 fallback 到openssl_random_pseudo_bytes()，它也依赖系统 HRNG - 不要用
getrandmax()判断“随机性强度”——它只反映rand()范围，和 HRNG 无关
PHP 8.1 及更早版本：确认 random_bytes() 底层是否真连 HRNG
PHP 7.0+ 引入 random_bytes()，但早期版本在某些编译配置下可能 fallback 到用户态 PRNG（比如没启用 openssl 且系统无 /dev/urandom），这就脱离 HRNG 了。
使用场景：你维护一个 PHP 7.4 的旧项目，又必须生成密钥或 token，得确认安全性底线。
立即学习“PHP免费学习笔记（深入）”；
- 运行
var_dump(random_bytes(1) !== random_bytes(1));—— 如果返回false，说明随机源卡死或被替换，立刻排查 - 检查
phpinfo()输出中 “Random” 部分，看 “Random library” 是否为auto或openssl；若显示libc，说明用了getrandom()系统调用（Linux 3.17+ 安全），但老内核可能 fallback 到/dev/urandom，仍可接受 - 避免手动指定
random_compat库（已废弃），它在 PHP 7.0+ 下反而可能干扰原生行为
为什么不用 openssl_random_pseudo_bytes() 手动控制？
这个函数看起来“更底层”，但实际没必要，还容易出错。
参数差异：openssl_random_pseudo_bytes($len, $crypto_strong) 第二个参数是引用输出，用来告诉你本次是否真用了密码学强源；而 random_bytes() 直接抛异常（Exception）或失败（PHP
- 写
$bytes = openssl_random_pseudo_bytes(32, $strong); if (!$strong) die();—— 漏掉判断或变量名写错（比如$is_strong）就 silently 降级 -
random_bytes()在不可用时直接 throwException，强制你处理，反而更安全 - 性能上无差别：两者最终都调系统 HRNG 接口，没有额外计算开销
容器或无特权环境（如 Alpine + Docker）下 HRNG 可能不可用
Alpine 默认不挂载 /dev/random 和 /dev/urandom，或只提供非阻塞版本，而某些 PHP 编译版本会因检测不到设备文件 fallback 到弱源。
常见错误现象：PHP 启动时报 Warning: random_bytes(): Cannot find a CSPRNG，或 random_bytes() 抛 Exception。
- Docker 中启动容器时加
--device /dev/random --device /dev/urandom - Alpine 镜像里装
haveged或rng-tools并运行服务，补足熵池（尤其在 VM 或容器中熵值常不足） - 不要用
/proc/sys/kernel/random/entropy_avail值来“监控”HRNG——PHP 不读这个，它只认设备文件或系统调用是否可用
真正关键的不是“有没有硬件”，而是操作系统能不能把硬件熵可靠地暴露给用户进程。一旦 random_bytes() 不报错、不降级，你就已经在用 HRNG 了。其他所有封装、桥接、模拟，都是退化路径。
