PHP 7中生成高强度随机密码必须使用random_bytes()或random_int()调用系统熵池，禁用rand()等非加密函数，字符集需排除易混淆字符并等概率采样，长度依场景设定。
在PHP 7中生成高强度随机密码，核心是使用加密安全的随机源（CSPRNG），而非传统随机函数。强度不只看长度或字符种类，更取决于熵值是否来自操作系统级真随机源，且整个生成流程无预测性漏洞。
必须用 random_bytes() 或 random_int()
PHP 7起官方提供两个加密安全函数：random_bytes() 生成随机字节，random_int() 生成安全整数。它们直接调用系统熵池（如 Linux 的 getrandom(2)、Windows 的 CryptGenRandom），可抵御时间侧信道和状态预测攻击。
- 禁用
rand()、mt_rand()、uniqid()—— 这些非加密安全，易被暴力穷举或时间推断 - 避免
str_shuffle()+substr()组合 —— 输入字符串固定，打乱后仍受限于原始字符集排列数，且不保证每类字符必现 - 不要对
random_bytes()输出再哈希（如sha256()）—— 会引入偏差，降低实际熵值
字符集设计影响实际强度
密码强度 = log₂(可用字符数长度)，但前提是每个位置独立、均匀采样。推荐做法：
- 定义包含大小写字母、数字、常用符号的字符集（如
'abcdefghjkmnpqrstuvwxyzABCDEFGHJKMNPQRSTUVWXYZ23456789!@#$%&*'），主动剔除易混淆字符（0/O/1/l/I/5/S/2/Z/8/B） - 用
random_int(0, strlen($charset) - 1)安全索引取值，确保每个位置从完整字符集等概率抽取 - 若需“每类至少一个”约束（如强制含大写+小写+数字），应在生成后校验并重试，而非依赖简单拼接——避免分布偏斜
长度与用途要匹配
不同场景对最小熵要求不同：
立即学习“PHP免费学习笔记（深入）”；
- 用户登录密码：建议 ≥ 16 字符（含四类），理论熵 ≥ 95 比特（按 72 字符集估算）
- API密钥或重置令牌：≥ 32 字节原始二进制（如
bin2hex(random_bytes(16))得32位十六进制，或base64_encode(random_bytes(24))得32字符Base64） - 短链接码等低风险场景：可适度缩短，但不得低于 8 字符且仍须用
random_int()
一个安全可靠的生成示例
以下函数生成指定长度、含大小写字母+数字+符号、排除易混淆字符的密码：
function generateStrongPassword($length = 20) {$charset = 'abcdefghjkmnpqrstuvwxyzABCDEFGHJKMNPQRSTUVWXYZ23456789!@#$%&*';
$maxIndex = strlen($charset) - 1;
$password = '';
for ($i = 0; $i $password .= $charset[random_int(0, $maxIndex)];
}
return $password;
}
echo generateStrongPassword();
?>
