PHP动态生成临时密钥须用random_bytes()确保密码学安全，控制Redis TTL防重放，绑定用户ID等上下文，且全程强制HTTPS传输。
PHP 动态生成临时密钥，核心是「用对函数 + 控制生命周期 + 防重放」，不是简单调用 random_bytes() 就完事。
用 random_bytes() 而不是 rand() 或 mt_rand()
临时密钥必须具备密码学安全性，rand() 和 mt_rand() 是伪随机、可预测，绝对不能用于密钥生成。PHP 7+ 推荐唯一方式是 random_bytes()：
try {
$key = bin2hex(random_bytes(32)); // 64 字符十六进制字符串，等效 256 位密钥
} catch (Exception $e) {
throw new RuntimeException('无法生成安全随机字节');
}
-
random_bytes(16)→ 32 字符（128 位），适合短期 token；32更稳妥，适配 AES-256 等场景 - 别用
openssl_random_pseudo_bytes()—— 已废弃，且需手动检查$crypto_strong参数 - 如果运行在 PHP paragonie/random_compat polyfill
临时性靠存储机制控制，不是靠“过期时间”字段
密钥本身不带时间戳，它的“临时”属性由你如何存、查、删它决定。常见错误是只在数据库加个 expires_at 字段却忘了清理逻辑。
- 推荐组合：
redis的SETEX（自动过期） + 唯一 key 前缀，例如tmpkey:reset:abc123 - 若用 MySQL，必须配套定时任务或 on-demand 清理：查询时加
WHERE created_at > DATE_SUB(NOW(), INTERVAL 15 MINUTE)，且对应字段建索引 - 绝对避免把密钥明文写进 session 文件或 cookie —— session ID 可被劫持，cookie 可被窃取或篡改
防重放：每个密钥只能用一次，且绑定关键上下文
生成后立即标记为“已发放”，验证时立刻销毁（或设为已使用）。否则攻击者截获一次就能反复提交。
立即学习“PHP免费学习笔记（深入）”；
- 典型流程：生成密钥 → 存入 Redis 并设置 10 分钟 TTL → 返回给前端 → 用户提交时，
GETDEL读取并删除 → 若返回 null，说明已用或过期 - 强烈建议绑定上下文：比如重置密码时，密钥应关联用户 ID 和操作类型，验证前先查该用户当前是否有未过期的同类型密钥
- 不要在 URL 中暴露密钥（如
?token=xxx），容易被日志、代理、Referer 泄露；改用 Authorization Header 或加密 body 提交
最易被忽略的一点：密钥生成后的传输通道必须是 HTTPS，否则再安全的密钥也会在中间被截获。没有 TLS，所有“临时”和“动态”都形同虚设。
