Quel est le meilleur moyen de générer une clé aléatoire dans PHP?

Question

Je cherche à créer une fonction réutilisable qui va générer une clé aléatoire avec des caractères ACSII imprimables de longueur choisie (de 2 à 1000+). Je pense que les caractères ASCII imprimables seraient 33-126. La clé n'a pas besoin d'être complètement unique, juste unique si elle est générée exactement à la même milliseconde (donc uniqid() ne fonctionnera pas).

Je pense qu'une combinaison de chr() et mt_rand() pourrait fonctionner.

Est-ce la voie à suivre, ou est-ce que quelque chose d'autre est la meilleure méthode?

Editer:uniqid() ne fonctionnera pas non plus car il n'a pas de paramètre de longueur, c'est juste ce que PHP vous donne.

Mon Idée: Voici ce que je suis venu avec:

function GenerateKey($length = 16) { 
    $key = ''; 

    for($i = 0; $i < $length; $i ++) { 
     $key .= chr(mt_rand(33, 126)); 
    } 

    return $key; 
} 

Y at-il des problèmes avec cela?

Autre édition: La plupart des autres questions concernent la génération de mot de passe. Je veux une plus grande variété de caractères et je me fous de 1 vs l. Je veux que le nombre maximum de clés possibles soit possible.

Remarque: la clé générée ne doit pas nécessairement être cryptographiquement sécurisée.

Answer 1

Mise à jour (12/2015): Pour PHP 7.0, vous devez utiliser random_int() au lieu de mt_rand car il fournit des « valeurs sûres » cryptographiquement

Personnellement, je préfère utiliser sha1(microtime(true).mt_rand(10000,90000)) mais vous recherchez plus de une approche personnalisable, alors essayez cette fonction (qui est une modification à votre demande de this answer):

function rand_char($length) { 
    $random = ''; 
    for ($i = 0; $i < $length; $i++) { 
    $random .= chr(mt_rand(33, 126)); 
    } 
    return $random; 
} 

encore, ce sera probablement beaucoup plus lent que uniqid(), md5() ou SHA1().

Editer: On dirait que vous avez d'abord eu, désolé. : D

Edit 2: j'ai décidé de faire un test peu agréable sur ma machine Debian avec PHP 5 et eAccelerator (excusez le code long):

function rand_char($length) { 
    $random = ''; 
    for ($i = 0; $i < $length; $i++) { 
    $random .= chr(mt_rand(33, 126)); 
    } 
    return $random; 
} 

function rand_sha1($length) { 
    $max = ceil($length/40); 
    $random = ''; 
    for ($i = 0; $i < $max; $i ++) { 
    $random .= sha1(microtime(true).mt_rand(10000,90000)); 
    } 
    return substr($random, 0, $length); 
} 

function rand_md5($length) { 
    $max = ceil($length/32); 
    $random = ''; 
    for ($i = 0; $i < $max; $i ++) { 
    $random .= md5(microtime(true).mt_rand(10000,90000)); 
    } 
    return substr($random, 0, $length); 
} 

$a = microtime(true); 
for ($x = 0; $x < 1000; $x++) 
    $temp = rand_char(1000); 

echo "Rand:\t".(microtime(true) - $a)."\n"; 

$a = microtime(true); 
for ($x = 0; $x < 1000; $x++) 
    $temp = rand_sha1(1000); 

echo "SHA-1:\t".(microtime(true) - $a)."\n"; 

$a = microtime(true); 
for ($x = 0; $x < 1000; $x++) 
    $temp = rand_md5(1000); 

echo "MD5:\t".(microtime(true) - $a)."\n"; 

Résultats:

Rand: 2.09621596336 
SHA-1: 0.611464977264 
MD5: 0.618473052979 

Donc, ma suggestion, si vous voulez la vitesse (mais pas charset complet), est de s'en tenir à MD5, SHA-1, ou Uniqid (que je n'ai pas encore testé ..)

Answer 2

Est-ce que that question pourrait vous intéresser?

Je ne sais pas pourquoi uniqid() ne fonctionne pas pour vous et dans quel cas vous avez besoin d'un numéro unique dans la même milliseconde mais pas nécessairement autrement; Que générez-vous si vite que dans la même milliseconde vous pourriez avoir une collision? Je me demande combien de temps prend uniqid() juste pour générer son nombre. Si vous le souhaitez, utilisez le paramètre prefix de la fonction uniqid() avec quelques lettres au hasard et vous devriez être en sécurité. S'il s'agit de générer un fichier, vous pouvez regarder tmpfile() ou tempname(). Dans tous les cas, en fonction de ce que vous essayez de réaliser, vous pouvez simplement boucler et vérifier si l'identifiant unique est déjà pris (dans un tableau, avec file_exists, etc.) et en générer un autre si c'est le cas .

---

De plus, comme je ne suis pas sûr que je comprends votre question exactement, je vous indiquer les autres questions assez semblables sonnent pendant que je la différence de la vôtre:

• Generating (pseudo)random alpha-numeric strings
• How many random elements before MD5 produces collisions?

Le premier sera d'intérêt si vous cherchez à faire un identifiant unique qui est lisible par l'homme. Le second pourrait être utile si vous voulez jouer avec des nombres aléatoires et md5/sha1. Bien que, encore une fois, je pense que uniqid() pourrait déjà être ce que vous cherchez.

Answer 3

Vous pouvez toujours se uniqid(), effectuez simplement un traitement supplémentaire pour étendre sa valeur au nombre de caractères dont vous avez besoin.

Par exemple, pour l'étendre à 32 caractères, vous pouvez faire

$id = md5(uniqid()); 

Pour l'étendre à 64 caractères, ajoutez juste le md5 du md5, comme si

$first = md5(uniqid()); 
$id = $first . md5($first); 

Ensuite, si nécessaire, si vous avez besoin de moins d'un multiple de 32.

Il est possible que vous rencontriez des collisions, mais c'est peu probable. Si vous êtes paranoïaque à ce sujet, utilisez la même idée, mais battez uniqid() à travers un chiffrement symétrique comme AES au lieu de le hacher.

Answer 4

Aucune des réponses ici ne suffit si vous voulez un caractère aléatoire de force cryptographique (y a-t-il un attaquant déterminé essayant de deviner quelles sont vos clés aléatoires?). Hashing le temps n'est pas sécurisé, un attaquant peut grandement accélérer leur recherche en devinant le moment où ils pensent que votre serveur a généré la clé, et il est facile de chercher toutes les millisecondes dans une année donnée, même sur un ordinateur portable espace de recherche de bits). En outre, la suggestion d'exécuter simplement les résultats de uniqid() ou d'une autre source aléatoire faible via une fonction de hachage pour la "développer" est dangereuse. Cela ne rend pas la recherche d'un attaquant plus difficile une fois qu'ils ont découvert que vous l'avez fait.

Si vous avez vraiment besoin de sécurité au niveau de Crypto, vous devriez lire/dev/random, le code suivant doit travailler pour vous dans tout système compatible POSIX (tout sauf Windows):

#Generate a random key from /dev/random 
function get_key($bit_length = 128){ 
    $fp = @fopen('/dev/random','rb'); 
    if ($fp !== FALSE) { 
     $key = substr(base64_encode(@fread($fp,($bit_length + 7)/8)), 0, (($bit_length + 5)/6) - 2); 
     @fclose($fp); 
     return $key; 
    } 
    return null; 
} 

Si vous besoin d'un peu plus de vitesse, vous pouvez lire à la place 'dev/urandom'.

Answer 5

Pourquoi ne pas utiliser openssl_random_pseudo_bytes http://www.php.net/manual/en/function.openssl-random-pseudo-bytes.php

Answer 6

$ key = md5 (microtime() rand().); Le microtime en lui-même n'est pas sûr car il ne laisse que 1/1000 chance d'être deviné. Rand par lui-même n'est pas non plus très sûr, mais hacher leur concaténation ensemble donne une randomisation assez solide.

Answer 7

Ma réponse précédente prenait un hash de uniqid() combiné à un sel dérivé de variables système, mais qui ne générait pas de clé aléatoire , une seule susceptible d'être unique. De même, la sortie de rand() ou mt_rand() n'est pas assez aléatoire à des fins de chiffrement.

Pour générer une clé aléatoire, vous devez aller à une source de données aléatoires, et la fonction openssl_random_pseudo_bytes() est conçue pour le faire:

$randkey = base64_encode(openssl_random_pseudo_bytes(32)); 

Le base64_encode() est de faire en caractères imprimables.

La raison pour laquelle les autres réponses ne recommandent pas openssl_random_pseudo_bytes() est probablement qu'elle a été introduite en PHP 5.3, et cette question a presque 6 ans.

Answer 8

vous pouvez également générer une clé aléatoire et vérifiez la clé dans votre base de données si la clé est sorties, vous pouvez générer une autre clé par cette méthode

 function activation($lengt=20){ 
    $modalpage =new Modal;//you can call your modal page and check the key 

    $characters = "1234567890abcdefghijklmnopqrstuvwxyz"; 
    for($i=0;$i<$lengt;$i++) 

    {  

    $key .= $characters{rand(0,35)}; 
    $check= array(
    ":key" => $key, 
    ); 

    $result = $modalpage->findkey($check); 

    if($result==true){ //if the key is exits return the function and generate another key ! 

     return activation($lengt); 

    }else //if the key is not exits return the key 
    return $key; 
    } 


      } 

$mykey=activation(15);