PHP 7.0+ 应使用 random_int() 替代 rand() 或 mt_rand()，因其是密码学安全的伪随机数生成器，基于系统熵源；rand() 已在 PHP 8.1 被弃用，mt_rand() 输出可预测，存在安全风险。
PHP 7.0+ 应该用 random_int() 而不是 rand() 或 mt_rand()
因为安全。如果你在生成密码重置令牌、临时密钥、CSRF token 或任何需要不可预测性的场景，rand() 和 mt_rand() 输出可被推测，存在被爆破风险。而 random_int() 是密码学安全的伪随机数生成器（CSPRNG），底层调用操作系统级熵源（如 /dev/urandom）。
常见错误现象：mt_rand(1, 100) 在某些旧 PHP 版本或容器环境下可能重复输出相同序列；rand() 已在 PHP 8.1 中被弃用。
-
random_int($min, $max)只接受整数，不能直接生成浮点数 - 范围是闭区间：
random_int(1, 6)可能返回 1、2、3、4、5、6 - 若
$min > $max会抛出ValueError
生成指定范围的随机浮点数（比如 0.0–1.0 之间）
PHP 没有内置密码学安全的浮点随机函数，所以得自己构造。最稳妥的方式是用 random_int() 生成整数再缩放，避免浮点精度和分布不均问题。
例如生成 [0.0, 1.0) 区间的均匀浮点数：
立即学习“PHP免费学习笔记（深入）”；
function random_float(): float
{
return random_int(0, PHP_INT_MAX) / PHP_INT_MAX;
}
注意：PHP_INT_MAX 是当前平台最大有符号整数值（如 64 位系统通常是 9223372036854775807），除法后结果严格小于 1.0。不要用 mt_rand() / mt_getrandmax() —— 它不安全，且在某些 PHP 版本中 mt_getrandmax() 返回值远小于 PHP_INT_MAX，导致精度塌缩。
生成随机字符串（如 8 位字母数字 token）
别拼接 rand() + 字符表，也别用 uniqid()（它基于时间戳，可预测）。正确做法是用 random_int() 索引字符集，或更推荐——直接用 bin2hex(random_bytes($n))。
-
random_bytes(4)生成 4 字节加密安全二进制数据，bin2hex()转成 8 位小写十六进制字符串（如"a3f9b1e4"） - 若需大小写字母+数字（62 进制），可用循环 +
random_int(0, 61)查表，但性能略低；bin2hex()更快且足够安全 - 避免用
openssl_random_pseudo_bytes()—— 已废弃，PHP 9 将移除
为什么 mt_srand() 手动设种子反而更危险？
有人误以为“自己设个时间戳种子就更随机”，其实完全相反。PHP 7.2+ 的 mt_rand() 默认自动播种，手动调用 mt_srand(time()) 会让整个序列变得可预测（攻击者只要知道大致时间就能复现）。而且，mt_srand() 不影响 random_int() —— 后者完全独立。
典型错误场景：在框架启动时执行一次 mt_srand()，然后全站用 mt_rand() 发验证码；一旦服务器时间暴露（如 HTTP Date 头），验证码就可能被批量推算。
真正需要可控可重现随机序列的场合（如单元测试），应使用专用库（如 sebastian/random），而不是污染全局状态。
复杂点在于：安全性和便利性常冲突。比如 random_int() 可能因系统熵池枯竭而阻塞（极罕见，多见于嵌入式或 chroot 环境），这时要加超时处理或 fallback；但绝大多数 Web 场景下，直接用它就对了。
