random_bytes() 自 PHP 7.0 起已存在，PHP 8.2 仅增强底层实现；安全关键在于：① 必须编码（如 bin2hex）后使用，不可裸用字节；② 生成整数须用 random_int()，禁用取模；③ 需捕获 Random\RandomException，不可静默降级。
random_bytes() 在 PHP 8.2 中并不是“新增”的函数——它早在 PHP 7.0 就已正式引入。但 PHP 8.2 对其底层支持做了增强（如 macOS 上优先使用 CCRandomGenerateBytes，更稳定），所以用法本身没变，安全关键在于怎么调、怎么转、怎么用。
以下三点是真正影响安全性的实操要点：
用对函数：别拿 random_bytes() 直接当数字或字符串用
random_bytes($n) 返回的是原始字节流，可能含 \x00、\xFF 或控制字符，不能直接 echo、json_encode、存数据库字段（尤其非 BLOB 类型）、或拼进 SQL/HTML。
- ✅ 正确做法：先编码再使用
- 转十六进制（URL 安全、可读性强）：
bin2hex(random_bytes(16))→ 32 字符小写字符串 - 转 Base64（更短，需 URL 安全处理）：
$raw = random_bytes(18); $safe = rtrim(str_replace(['+', '/', '='], ['-', '_', ''], base64_encode($raw)), '_');
- 转十六进制（URL 安全、可读性强）：
- ❌ 错误示例：
echo random_bytes(8); // 可能输出乱码甚至终端崩溃 $id = 'user_' . random_bytes(4); // 字节混入字符串，结果不可控
生成整数时：必须用 random_int()，别自己取模
你不能靠 random_bytes(1)[0] % 100 + 1 来生成 1–100 的随机数——这会产生模偏差（例如 0–255 对 100 取模，0–55 出现概率略高）。
立即学习“PHP免费学习笔记（深入）”；
- ✅ 正确做法：交给
random_int()处理$code = random_int(1000, 9999); // 四位验证码，均匀无偏 $uid = random_int(1_000_000, 9_999_999); // 七位用户 ID
它内部已用
random_bytes()做无偏映射，无需手动实现。
防环境失效：检查异常，不静默降级
在容器、精简镜像或低熵系统中，random_bytes() 可能抛出 Random\RandomException（PHP 8.2+ 默认启用严格异常）。
- ✅ 正确做法：显式捕获并响应
try { $token = bin2hex(random_bytes(24)); } catch (Random\RandomException $e) { throw new RuntimeException('无法生成安全随机数，请检查系统随机源配置', 0, $e); } - ❌ 错误做法：
@random_bytes(16); // 抑制错误 → 后续逻辑用空字符串，引发隐蔽漏洞
重点提醒：random_bytes() 本身足够安全，但不安全的用法会让它彻底失效。只要避开取模、不裸用字节、不忽略异常，就守住了密码学安全的第一道门。
