PHP5生成随机盐值应使用openssl_random_pseudo_bytes()或/dev/urandom，禁用rand()/uniqid()等不安全方法，推荐长度≥16字节并经base64或hex编码后过滤特殊字符。
PHP5 中生成随机盐值，核心是使用密码学安全的随机字节，并将其编码为可读字符串（如 base64 或十六进制）。由于 PHP5 不支持 random_bytes()（该函数从 PHP7.0 才引入），需借助 openssl_random_pseudo_bytes() 或 /dev/urandom 等替代方案。
使用 openssl_random_pseudo_bytes() 生成盐值
这是 PHP5 最推荐的方式，前提是启用了 OpenSSL 扩展（绝大多数生产环境已启用）：
- 调用
openssl_random_pseudo_bytes($length, $strong)获取加密安全的随机字节； - 检查返回的
$strong参数是否为true，确保随机性足够强； - 用
base64_encode()或bin2hex()转为字符串，再过滤掉非 URL 安全字符（如+、/、=）以适配存储或 URL 场景。
示例代码：
$saltLength = 16;
$bytes = openssl_random_pseudo_bytes($saltLength, $strong);
if ($strong !== true) {
throw new Exception('无法生成强随机数');
}
// Base64 编码并移除特殊字符，适合数据库或配置使用
$salt = str_replace(['+', '/', '='], '', base64_encode($bytes));
备用方案：读取 /dev/urandom（Linux/Unix 系统）
若 OpenSSL 不可用，且运行在类 Unix 系统上，可直接读取系统熵池：
立即学习“PHP免费学习笔记（深入）”；
- 用
file_get_contents('/dev/urandom', false, null, 0, $length)读取指定长度字节； - 务必检查返回值长度是否匹配，避免空或截断；
- 同样建议用
bin2hex()或安全的 base64 处理后再使用。
注意：Windows 系统不提供 /dev/urandom，此方法不具备跨平台性。
不推荐的做法：避免使用 md5(rand()) 或 uniqid()
这些方式缺乏密码学安全性：
-
rand()和mt_rand()是伪随机，可被预测； -
uniqid()基于时间戳，碰撞风险高且熵极低； -
md5()或sha1()对固定输入无增强随机性作用，反而可能掩盖原始熵不足问题。
盐值长度与编码建议
实际应用中需兼顾安全性和实用性：
- 推荐盐长 ≥ 16 字节（128 位），对应 base64 编码后约 22–24 个字符；
- 若用于
crypt()或旧式md5($pass.$salt)，注意目标函数对盐格式的要求（如crypt()的 DES 盐仅支持 2 字符）； - 统一使用小写字母+数字的变体（如
strtr(base64_encode(...), '+/', 'ab')）可进一步提升兼容性。
