str_shuffle()仅打乱字符串字符顺序且不改变原串；只接受非空字符串参数，否则警告并返回false；按字节操作，UTF-8外的中文或重音字符易乱码；非加密/随机数工具，敏感场景应改用random_int()或Randomizer。
str_shuffle() 的核心作用就一个：把传入的字符串里每个字符的位置彻底重排，不保留原顺序，也不保证均匀分布——它不是加密工具，只是简单打乱。
参数和返回值必须搞清
它只接受一个 string 类型参数，且不能为空（传空字符串会返回空字符串，但不会报错）；返回值是新字符串，原字符串不变。注意：str_shuffle() 不支持 null、int 或数组，传错类型会触发警告并返回 false。
- 正确用法：
$shuffled = str_shuffle("abc123"); - 错误写法：
str_shuffle(null)、str_shuffle(123)、str_shuffle(["a","b"]) - 中文字符也能打乱，但需确保源字符串是 UTF-8 编码，否则可能产生乱码或截断（因为
str_shuffle()按字节操作，非按 Unicode 字符）
别把它当随机数生成器用
很多人用 str_shuffle("0123456789") 再 substr() 截取来“生成随机数字”，这在低并发、非安全场景下能凑合，但有硬伤：
- 输出不满足均匀分布：比如打乱 10 个数字，首字符为 "0" 的概率和其他数字一样高，但作为数字开头时可能不合法
- 无法避免重复调用得到相同结果：因为底层复用全局
Mt19937实例，如果之前调用了mt_srand(123)，那str_shuffle()也会输出可预测序列 - 不适合生成验证码以外的敏感标识：比如订单号、token，应改用
random_int()或Random\Randomizer
常见误用场景与替代建议
以下写法看着简洁，实则埋雷：
立即学习“PHP免费学习笔记（深入）”；
- 「生成 6 位纯数字」：
substr(str_shuffle("0123456789"), 0, 6)→ 可能以 0 开头，且无法保证 6 位不重复（虽然概率低，但字符串本身无重复，所以结果也无重复；但若你用的是"001122"这种含重字符串，结果就会有重） - 「生成字母+数字验证码」：
str_shuffle("ABC123")长度固定为 6，无法动态扩展；想生成 8 位就得换字符串 - 真正需要不可预测性时，应弃用
str_shuffle()：(new Random\Randomizer(new Random\Engine\Secure()))->shuffleBytes($bytes)或直接random_bytes(4)
最易被忽略的一点：它不处理多字节字符的安全边界。如果你传入 "café"（带重音 é），在非 UTF-8 环境下可能被拆成乱码字节再打乱，最终输出不可读。生产环境涉及国际化内容时，优先考虑 mb_substr() + preg_split('//u', $str) + 自定义 shuffle 逻辑，而不是依赖 str_shuffle()。
