window.crypto.getRandomValues()是浏览器端生成密码学安全随机令牌的唯一推荐方式，需检查兼容性、使用Uint8Array原地填充、Base64URL编码，禁用Math.random()和crypto.randomUUID()等不安全替代方案。
在浏览器端，window.crypto.getRandomValues() 是生成密码学安全随机令牌的唯一推荐方式。它直接调用操作系统级熵源（如 Windows 的 CryptGenRandom 或 Linux 的 /dev/urandom），输出不可预测、抗重放、满足 FIPS 140-2 标准的随机字节。
确认环境支持并检测可用性
不是所有运行时都原生支持 Web Crypto API，尤其在旧版浏览器或某些 WebView 中。使用前应做兼容性检查：
- 检查
window.crypto是否存在且crypto.getRandomValues是函数 - 避免直接调用导致
ReferenceError或TypeError - 不建议依赖 polyfill（如 crypto-browserify）生成安全令牌——其熵源和实现无法保证密码学强度
示例检测逻辑：
if (!window.crypto || typeof window.crypto.getRandomValues !== 'function') {<br> throw new Error('Web Crypto API not supported');<br>}
正确构造 TypedArray 并填充随机字节
getRandomValues() 不接受长度参数，也不返回新数组，而是**原地填充**你提供的 TypedArray。必须使用 Uint8Array（最常用）、Uint16Array 或 Uint32Array 等视图类型。
- 生成 32 字节令牌：用
new Uint8Array(32)，而非[...Array(32)]或new Array(32) - 传入非 TypedArray（如普通数组、null、undefined）会立即抛出
TypeError - 数组长度即为生成的随机字节数，直接影响熵值：32 字节 ≈ 256 位熵，远超防暴力破解所需
标准写法：
const bytes = new Uint8Array(32);<br>window.crypto.getRandomValues(bytes);
编码为 URL 安全、可传输的字符串
原始字节不能直接用于 HTTP 头、URL 参数或 JSON 字段，需转换为文本格式。推荐使用 Base64URL 编码（RFC 4648 §5），它：
- 不含
+、/和=，天然适配 URL 和 Cookie 是 JWT、OAuth2 token 等标准的实际编码方式
- 比 hex 编码更紧凑（32 字节 → 43 字符 Base64URL，vs 64 字符 hex）
可手动实现或使用 btoa() + 替换（注意：btoa 仅支持 Latin-1，需先转为 ASCII）：
function uint8ArrayToBase64Url(arr) {<br> const binString = String.fromCodePoint(...arr);<br> const base64 = btoa(binString);<br> return base64.replace(/\+/g, '-').replace(/\//g, '_').replace(/=/g, '');<br>}<br><br>const token = uint8ArrayToBase64Url(bytes); // 如：_9XvQaL7mKp2rYtBnCfEjGhIuOwZxRdVbNcSfTgUhJkLmNoPqRsTuWvXyZ0
避免常见错误与不安全替代方案
以下做法看似简单，实则破坏安全性：
-
不用
Math.random()：它是确定性 PRNG，种子易被推断，完全不适用于令牌 -
不用
crypto.randomUUID()：虽方便，但基于时间戳+随机数混合，未通过 CSPRNG 认证，部分合规场景（如 PCI DSS）明确禁止 - 不截断 Base64URL 字符串来“凑长度”：字符截断会严重削弱熵，应按目标熵反推字节数（如 16 字符 Base64URL ≈ 12 字节 ≈ 96 位熵）
-
不拼接多个
getRandomValues()调用结果：单次调用已足够，多次调用无额外收益，反而增加出错可能
