mt_rand() 不安全，应改用 random_int() 和 random_bytes()；前者生成安全整数，后者生成安全字符串，均基于操作系统加密源，不可预测且无偏差。
mt_rand() 本身不能生成更安全的随机数。它在 PHP 8.0 中仍是伪随机函数，基于 Mersenne Twister 算法，不加密安全，也不适合用于密码、Token、验证码密钥等需要不可预测性的场景。
如果你看到“用 mt_rand() 生成更安全的随机数”这类说法，那是一种常见误解——它再怎么调参、加种子、换写法，本质仍是可预测的伪随机数，无法满足 CSPRNG（密码学安全伪随机数生成器）要求。
真正安全的做法是：不用 mt_rand()，改用专为安全设计的函数。以下是 PHP 8.0 中推荐的替代方案：
-
生成安全整数（如 4 位验证码、API ID）
用random_int($min, $max)
✅ 调用操作系统级加密源（如/dev/urandom或 Windows CNG）
✅ 均匀分布、不可预测、防旁路攻击
⚠️ 可能抛出Exception，必须用try-catch包裹try { $code = random_int(1000, 9999); // 安全的 4 位数 } catch (Exception $e) { throw new RuntimeException('无法生成安全随机数'); } -
生成安全字符串（如令牌、盐值）
用random_bytes($length)配合字符映射
✅ 返回加密安全的二进制字节
✅ 可转为十六进制、Base64 或自定义字符集$bytes = random_bytes(16); // 16 字节安全随机数据 $token = bin2hex($bytes); // 得到 32 位小写十六进制字符串
-
需要浮点数或复杂分布？用
Random\Randomizer（PHP 8.2+ 更成熟，但 PHP 8.0 已可用基础版）
虽然 PHP 8.0 尚未内置Random\Randomizer的完整 API（该类在 8.2 正式稳定），但你仍可通过random_int()和数学换算实现安全浮点：// 安全生成 [0.0, 1.0) 区间的浮点数 $int = random_int(0, PHP_INT_MAX); $float = $int / (PHP_INT_MAX + 1.0);
-
不要做这些事（常见误区）
立即学习“PHP免费学习笔记（深入）”；
- ❌
mt_srand(time())或mt_srand(crc32(uniqid()))—— 种子易被推测，整个序列可复现 - ❌
mt_rand() % 100做取模 —— 引入偏差，破坏均匀性 - ❌ 多次
mt_rand()拼接来“增强安全性”—— 仍不加密安全
- ❌
简单说：安全不是靠“优化 mt_rand()”，而是换掉它。PHP 8.0 已原生支持 random_int() 和 random_bytes()，它们就是为你需要的安全场景而生的。
