php - 为什么 PHP 的 mt_rand 密码不安全？

Question

来自 http://php.net/manual/en/function.mt-rand.php :

Caution This function does not generate cryptographically secure values, and should not be used for cryptographic purposes.

有人可以在网站的上下文中解释这意味着什么吗？这是否意味着它不应该用于生成安全 token ？

在 32 位系统上 PHP_INT_SIZE刚刚超过20亿。如果我生成一个数字 mt_rand(0, PHP_INT_SIZE)并添加一个长随机字符串，比如 100 个字符并将其用作安全 token ，是否表示它不安全？

Answer 1

如果“安全 token ”是指 nonce ，即一次性 token 应该几乎可以肯定是唯一的 mt_rand很好。

在这种情况下，“不生成加密安全值”意味着提供有关生成器状态的足够信息 someone can predict what its output will be in the future .显然，如果您要使用所述输出来加密敏感信息，这将是一个大麻烦。