Go 1.22+ 的 rand/v2 不提供 rand.String()，因其刻意移除高层封装，仅保留 New 和底层方法；字符串生成需手动组合字符集与 rand.New 实例，兼顾安全性、可读性与合规要求。
Go 1.22+ 的 rand/v2 不提供直接生成随机字符串的函数，必须手动组合字符集和 rand.New 实例 —— 这是设计使然，不是你用错了。
为什么不能直接调用 rand.String()
rand/v2 故意移除了所有“高层封装”，包括字符串、整数范围、切片打乱等便捷函数。它的核心只有 rand.New 和底层 Uint64/N 方法。官方认为：字符串生成依赖字符集选择、是否允许重复、是否需要密码学安全等上下文，不应由标准库越俎代庖。
- 常见错误现象：
import "math/rand/v2"后尝试写rand.String(8)→ 编译报错：undefined: rand.String - 兼容性影响：旧代码若从
math/rand升级到rand/v2，所有字符串逻辑必须重写 - 性能上无损失，但代码行数增加 3–5 行
如何用 rand.New + 字符集生成普通随机字符串
最常用场景：生成 URL-safe ID、临时 token、测试用标识符。需自行定义字符集（如大小写字母+数字），再逐位采样。
- 推荐字符集用
const letters = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789"，避免0O1lI等易混淆字符（如需用户输入，应额外过滤） - 用
r := rand.New(rand.NewPCG(seed, seed))创建确定性实例（测试友好），或rand.New(rand.NewChaCha8())（生产环境推荐） - 对每个位置调用
r.N(uint64(len(letters)))获取索引，再查表拼接
<pre class="brush:php;toolbar:false;">const letters = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789"
r := rand.New(rand.NewChaCha8())
n := 12
b := make([]byte, n)
for i := range b {
b[i] = letters[r.N(uint64(len(letters)))]
}
s := string(b) // 例如 "Xk9mQp2RvLzT"
生成密码学安全随机字符串的注意事项
如果用于 token、密钥、session ID，必须用加密安全的 RNG，并避免查表法引入时序侧信道（虽实际影响极小，但合规要求常明确禁止查表）。
- 不要用
rand.NewPCG 或 <code>rand.NewChaCha8—— 它们不保证密码学安全；应改用rand.New(rand.NewCrypto()) - 更稳妥的做法是：先用
rand.NewCrypto().Uint64()生成原始字节，再 Base64/Hex 编码（避免查表） - 示例（URL-safe Base64）：
base64.RawURLEncoding.EncodeToString(r.Bytes(12))，其中r是rand.New(rand.NewCrypto()) - 注意：
rand.NewCrypto()在 Windows 上依赖BCryptGenRandom，Linux/macOS 读/dev/urandom，无需额外配置
容易被忽略的边界点
字符集长度为 1 时 r.N(1) 永远返回 0，没问题；但若字符集为空（len(letters)==0），r.N(0) 会 panic —— 生产代码里务必检查字符集非空。
- 多 goroutine 使用同一
*rand.Rand实例是安全的（rand/v2内置同步） - 不要在循环内反复创建
rand.New(...)实例，尤其用rand.NewCrypto()—— 每次初始化都可能触发系统熵池读取，有性能开销 - 测试时若需可重现结果，固定 seed 即可，但注意
rand.NewPCG(0,0)和rand.NewPCG(1,1)生成的序列完全不同
