在不依赖于典型 PHP 安装中很少包含的库的情况下，在 PHP 中生成加密安全的 32 字节盐的最佳方法是什么？
经过一番谷歌搜索后，我发现mt_rand 被认为不够安全，但我还没有找到替代建议。一篇文章建议阅读/dev/random，但这不仅不适用于Windows；它也非常慢。
我希望在安全性和速度之间取得合理的平衡（即，生成 512 个字节不应需要 20 秒，就像 /dev/random 通常那样）
【问题讨论】：
/dev/urandom 可用于更快的生成，但仍无法在 Windows 系统上运行。
标签： php random cryptography salt
我觉得microtime() 就够了。
奇怪的是，但我仍然对这个答案投了反对票。
虽然我得到的唯一解释是微时间是可预测的。
这对我来说听起来很奇怪，因为盐总是被认为是公开的 - 所以，预测根本没有用。
【讨论】：
echo microtime()（10个循环就可以了），看看你错了多少......
注意：
mcrypt在 PHP 7.1 中已被弃用。 Skip to the up-to-date answer.
您可能想查看mcrypt_create_iv() 的文档（和 cmets）。
【讨论】：
uniqid() 应该可以用于此目的。
【讨论】：
从/dev/urandom 读取，或使用openssl_random_pseudo_bytes()。
【讨论】：
注意：
mcrypt在 PHP 7.1 中已被弃用。 Skip to the up-to-date answer.
您可以使用函数mycrypt_create_iv()，因为 PHP 版本 5.3 它还在 Windows 服务器上使用随机源（不仅在 Unix 上）。在使用之前，你应该检查常量MCRYPT_DEV_URANDOM是否被定义。
mcrypt_create_iv($length, MCRYPT_DEV_URANDOM);
与随机不同，如果没有足够的可用熵，urandom 不会阻塞服务器。由于密码 salt 应该是唯一的（不一定是随机的），所以 urandom 对我来说似乎是一个不错的选择。
【讨论】：
MCRYPT_DEV_URANDOM 是默认值 - 所以如果您不想更改它，也可以使用mcrypt_create_iv($length)。此外，此功能在mcrypt 扩展中实现，它可能安装在您的服务器上，也可能不安装。最后，该函数的结果是一个二进制字符串，这通常不是您需要的，因为您想保存盐以供以后参考。我通常在将结果用作盐之前base64_encode。
password_hash() 的一个原因是我没有实现密码。我需要一个盐来实现一个无状态的“api key”风格的授权协议。
uniqueid 不太适合生成随机字符串，因为它也是基于 microtime 的。
CPU 周期通常比 microtime-tick 短得多，这可能导致循环内给定变量可能保持不变。
设置第二个参数“entropy”为true，
uniqid('', true)
会增加随机性。
为了得到一个与大多数字符集很好兼容的随机字符串，可以将base64编码应用于mcrypt初始化向量函数mcrypt_create_iv：
$length = 16;
base64_encode(mcrypt_create_iv(ceil(0.75*$length), MCRYPT_DEV_URANDOM))
//> hlZuRJypdHFQPtI2oSFrgA==
strlen(base64_encode(mcrypt_create_iv(ceil(0.75*$length), MCRYPT_DEV_URANDOM)))
//> 16
将字符字母减少到 2^6Bit 会增加大小，这已在上面进行了说明。
【讨论】：
这在 PHP 7 中更容易：
只需使用$salt = random_bytes($numberOfDesiredBytes); 生成盐。
无论如何，你需要盐做什么？如果是密码，只需使用password_hash() 和password_verify()。
【讨论】：
password_hash 的关注。结果证明它比原来的解决方案更适合我。
看起来这个问题有一个公认的答案，但我只是想在经过一些研究并阅读这个帖子后另外声明，如果你不把所有的鸡蛋都放在一个篮子里，你可能会增加一些安全性。
我可能建议不要仅仅依靠 PHP 来创建你的盐和散列你的密码。如果您让数据库完成部分工作，您可以进一步混淆您的解决方案。
有人建议只使用 password_hash() 和 password_verify()。虽然这些都是很好的方法，但我强烈建议坚持在这些方法之外加入盐的想法。
要回答这个问题，盐可以是任何真正随机的并且强制执行为用户独有的东西。只要您遵守这两条规则，您就可以在技术上按照您的意愿生成它。
几个不错的资源：
https://www.codeproject.com/Articles/704865/Salted-Password-Hashing-Doing-it-Right https://auth0.com/blog/adding-salt-to-hashing-a-better-way-to-store-passwords/
【讨论】：