Secure vs. Generasi Nombor Rawak: `Random_int ()` vs `mt_rand ()`

Gunakan random_int () untuk tugas-tugas sensitif keselamatan seperti token, kata laluan, dan garam kerana ia selamat secara kriptografi, bergantung pada sumber entropi peringkat OS seperti /dev /urandom atau cryptgenrandom. 2. Gunakan mt_rand () untuk tujuan bukan keselamatan seperti permainan, simulasi, atau shuffling array di mana kelajuan adalah penting dan kebolehprediksi tidak menjadi kebimbangan, kerana ia menggunakan algoritma Mersenne Twister yang cepat tetapi boleh diramal. 3. Jangan sekali-kali menggunakan mt_rand () apabila tidak dapat diprediksi diperlukan, kerana ia boleh menjadi kejuruteraan terbalik, manakala random_int () harus dikhaskan untuk kes-kes di mana keselamatan melebihi keperluan prestasi, memastikan keseimbangan yang tepat antara keselamatan dan kecekapan.

Apabila menjana nombor rawak dalam php, memilih antara random_int() dan mt_rand() sering turun ke perdagangan antara keselamatan dan prestasi . Walaupun kedua -dua fungsi menjana bilangan bulat rawak, mereka melayani tujuan yang berbeza dan tidak boleh ditukar ganti dalam semua konteks.

? Keselamatan: random_int() selamat secara kriptografi

random_int() diperkenalkan dalam Php 7.0 khusus untuk menyediakan bilangan bulat rawak yang selamat . Ia menggunakan sumber rawak yang selamat yang disediakan oleh sistem operasi:

• Pada linux: /dev/urandom atau getrandom() panggilan sistem
• Di Windows: CryptGenRandom atau BCryptGenRandom
• Pada sistem lain: CSPRNG setara (penjana nombor pseudorandom yang selamat)

Ini menjadikan random_int() sesuai untuk:

• Menjana token sesi
• Membuat kekunci tetapan semula kata laluan
• Menghasilkan token CSRF
• Sebarang senario di mana ramalan dapat dieksploitasi

 $ token = bin2hex (random_int (100000, 999999))); // selamat untuk kegunaan sensitif keselamatan

Kerana ia bergantung pada entropi peringkat OS, random_int() lebih perlahan daripada mt_rand() , terutamanya di bawah beban tinggi atau sistem dengan entropi terhad.

⚡ Prestasi: mt_rand() pantas tetapi tidak selamat

mt_rand() menggunakan algoritma Mersenne Twister , PRNG yang cepat dan boleh dipercayai (Pseudorandom Number Generator) yang sangat baik untuk tujuan bukan keselamatan.

Ia sesuai untuk:

• Array shuffling
• Simulasi atau permainan
• Offset Pagination
• Sebarang kes di mana kelajuan perkara dan keselamatan tidak

 $ random_index = mt_rand (0, kiraan ($ item) - 1);

Walau bagaimanapun, mt_rand() boleh diramalkan . Memandangkan output yang mencukupi, penyerang boleh membalikkan kejuruteraan keadaan dalaman dan meramalkan nilai masa depan. Ini menjadikannya tidak sesuai untuk tugas-tugas yang berkaitan dengan keselamatan .

Perhatikan juga:

• mt_rand() mesti dibiakkan secara manual (walaupun PHP melakukan ini secara automatik pada penggunaan pertama)
• Rawaknya, sementara secara statistik, tidak kuat secara kritikal
• Ia jauh lebih cepat daripada random_int() - selalunya dengan urutan magnitud

Bilakah hendak menggunakan yang mana?

? Jangan gunakan mt_rand() untuk apa -apa yang mesti tidak dapat diramalkan kepada penyerang.

Contoh praktikal: perbandingan penanda aras

 $ start = microTime (true);
untuk ($ i = 0; $ i <10000; $ i) {
    mt_rand (1, 1000);
}
echo "mt_rand ():". (microtime (true) - $ start). "saat \ n";

$ start = microTime (true);
untuk ($ i = 0; $ i <10000; $ i) {
    random_int (1, 1000);
}
echo "random_int ():". (microtime (true) - $ start). "saat \ n";

Anda biasanya akan melihat mt_rand() berjalan 5-10x lebih cepat.

Bottom line

• Gunakan random_int() apabila perkara keselamatan - walaupun ia lebih perlahan.
• Gunakan mt_rand() apabila anda memerlukan kelajuan dan rawak statistik , dan tidak ada risiko eksploitasi .

Memilih fungsi yang betul bukan tentang yang "lebih baik" secara keseluruhan - ia menyamai alat untuk pekerjaan itu. Menyalahgunakan mt_rand() dalam konteks yang selamat boleh membawa kepada kelemahan yang serius, sementara terlalu banyak random_int() dalam kod prestasi-kritikal boleh menambah overhead yang tidak perlu.

Pada asasnya: selamat apabila anda mesti, cepat apabila anda boleh.

Atas ialah kandungan terperinci Secure vs. Generasi Nombor Rawak: `Random_int ()` vs `mt_rand ()`. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!