Làm thế nào để bạn tạo ra các số ngẫu nhiên an toàn mã hóa bằng PHP?

Question

thể trùng lặp:
Secure random number generation in PHP

Chúng tôi cần phải tạo ra một chuỗi mã hóa ngẫu nhiên để sử dụng như một thẻ xác thực, đây sẽ được gắn với dữ liệu phiên trong cơ sở dữ liệu. Chúng tôi đang sử dụng PHP, có vẻ như không có trình tạo số ngẫu nhiên thích hợp tích hợp sẵn. Làm thế nào chúng ta có thể tạo ra một chuỗi ký tự ngẫu nhiên an toàn với độ dài N bằng cách sử dụng php?

Cũng lưu ý, do tính chất của ứng dụng của chúng tôi, shell_exec bị tắt khỏi bảng.

Answer 1

còn khoảng uniqid? tài liệu có một ví dụ về cách nó có thể được sử dụng cho cookie/phiên.

Answer 2

Tắt đầu của tôi: lấy thời gian vi mô, nhân với microtime% 100 và thực hiện một số ít tiền trên sha1 kết quả nhận được.

Answer 3

Tùy thuộc vào nền tảng của bạn, bạn có thể sử dụng/dev/urandom hoặc CAPICOM. Đây là độc đáo tóm tắt trong this comment from Mark Seecof:

"Nếu bạn cần một số bit giả ngẫu nhiên đối với an ninh hoặc các mục đích mã hóa (trứng, IV ngẫu nhiên cho mã khối, muối ngẫu nhiên cho hash mật khẩu) mt_rand() là một nguồn nghèo Trên hầu hết các. nền tảng Unix/Linux và/hoặc MS-Windows, bạn có thể nhận được một lớp tốt hơn của các bit giả ngẫu nhiên từ hệ điều hành hoặc hệ thống thư viện, như thế này:

<?php 
// get 128 pseudorandom bits in a string of 16 bytes 

$pr_bits = ''; 

// Unix/Linux platform? 
$fp = @fopen('/dev/urandom','rb'); 
if ($fp !== FALSE) { 
    $pr_bits .= @fread($fp,16); 
    @fclose($fp); 
} 

// MS-Windows platform? 
if (@class_exists('COM')) { 
    // http://msdn.microsoft.com/en-us/library/aa388176(VS.85).aspx 
    try { 
     $CAPI_Util = new COM('CAPICOM.Utilities.1'); 
     $pr_bits .= $CAPI_Util->GetRandom(16,0); 

     // if we ask for binary data PHP munges it, so we 
     // request base64 return value. We squeeze out the 
     // redundancy and useless ==CRLF by hashing... 
     if ($pr_bits) { $pr_bits = md5($pr_bits,TRUE); } 
    } catch (Exception $ex) { 
     // echo 'Exception: ' . $ex->getMessage(); 
    } 
} 

if (strlen($pr_bits) < 16) { 
    // do something to warn system owner that 
    // pseudorandom generator is missing 
} 
?> 

NB: nó nói chung là an toàn để rời cả nỗ lực để đọc/dev/urandom và nỗ lực truy cập CAPICOM trong mã của bạn, mặc dù mỗi người sẽ thất bại âm thầm trên nền tảng của người khác. Hãy để cả hai ở đó để mã của bạn sẽ di động hơn. "