生成安全的随机令牌在Web开发中非常重要，尤其是在用户认证、密码重置、会话管理等场景中。PHP提供了多种方式来生成加密安全的随机数据，并结合哈希函数确保令牌的安全性和唯一性。下面介绍几种推荐的做法。
使用 random_bytes() 生成加密安全的随机数据
PHP 7+ 提供了 random_bytes() 函数，它基于操作系统的加密安全随机数生成器（如 /dev/urandom 或 CryptGenRandom），适合用于生成安全令牌。
示例：
$token = bin2hex(random_bytes(32)); // 生成64位十六进制字符串
echo $token; // 如: a3f8b1c9e2d4...
这里 random_bytes(32) 生成32字节（256位）的随机数据，bin2hex() 将其转换为可读的十六进制字符串。这种令牌足够长且不可预测，适合用作API密钥或重置令牌。
使用 random_int() 生成安全的随机整数
如果需要生成安全的随机整数（例如一次性验证码），应使用 random_int() 而非 rand() 或 mt_rand()，因为后者不具备加密安全性。
立即学习“PHP免费学习笔记（深入）”；
示例：
$code = random_int(100000, 999999); // 生成6位数字验证码
结合哈希函数增强令牌安全性
有时需要将某些信息（如用户ID、时间戳）参与令牌生成，但又不能明文暴露。可以结合哈希函数（如 hash_hmac()）生成签名令牌。
示例：生成带签名的重置令牌
$user_id = 123;
$expires = time() + 3600;
$salt = 'your_secure_salt_or_use_random'; // 建议使用系统环境变量存储
$raw_token = random_bytes(16);
$token = bin2hex($raw_token);
$signature = hash_hmac('sha256', "$user_id|$token|$expires", $salt);
$final_token = "$token.$expires.$signature";
验证时重新计算 HMAC 并比对签名，防止令牌被篡改。
避免不安全的随机函数
以下函数不应用于生成安全令牌：
- rand() 和 mt_rand()：可预测，不适用于加密场景
- uniqid()：基于时间戳，容易被猜测
- 自制“随机”算法：缺乏密码学保障
基本上就这些。只要使用 random_bytes() 或 random_int()，再配合适当的编码和哈希处理，就能在PHP中安全地生成令牌。关键是避免使用非加密安全的随机源，并确保令牌长度足够（建议至少16字节，推荐32字节以上）。
