JavaScript随机数生成与使用技巧

JavaScript中生成随机数看似简单，实则暗藏玄机：Math.random()虽便捷高效，却因不可重现、非加密安全及易产生分布偏差，在密码生成、抽奖、Token发放等关键场景下存在严重风险；真正安全的方案需转向Web Crypto API的crypto.getRandomValues()，而整数范围生成也必须遵循Math.floor()的正确范式以确保均匀性——理解“随机”不等于“安全”或“均匀”，才是避免线上事故的第一道防线。

JavaScript 生成随机数本身很简单，但“随机”不等于“安全”或“均匀”，尤其在密码、抽奖、游戏等场景下，直接用 Math.random() 很可能出问题。

为什么 Math.random() 不够用

Math.random() 返回的是 [0, 1) 区间内的伪随机浮点数，底层依赖引擎实现（如 V8 使用 xorshift128+），它快、轻量，但有三个硬伤：

• 不可重现：每次调用结果不可预测，也无法 seed（播种）
• 非加密安全：输出可被推测，不能用于生成 token、盐值、密钥
• 分布偏差风险：做整数映射时若写法不当（比如 Math.floor(Math.random() * 6) + 1 对骰子是 OK 的，但 Math.round() 或错误取模会破坏均匀性）

生成指定范围整数的正确写法

常见错误是用 Math.round() 或漏掉边界处理。正确方式始终基于 Math.floor() + 左闭右开区间逻辑：

function randomInt(min, max) {
  return Math.floor(Math.random() * (max - min + 1)) + min;
}
// 示例：1–10 之间的整数（含 1 和 10）
randomInt(1, 10); // ✅ 均匀、无偏

注意：max 是包含的，所以要加 1；如果需要 [min, max)（不含 max），就去掉 +1。

需要真随机？用 crypto.getRandomValues()

浏览器环境里，真正安全的随机数必须走 Web Crypto API。它返回的是密码学安全的整数，适合生成 session ID、临时密钥、验证码 salt：

function secureRandomInt(min, max) {
  const range = max - min + 1;
  const array = new Uint32Array(1);
  crypto.getRandomValues(array);
  return min + (array[0] % range);
}
// 示例：生成 4 位数字验证码（1000–9999）
secureRandomInt(1000, 9999); // ✅ 加密安全

注意：crypto.getRandomValues() 是同步的，但仅支持 Uint8Array、Uint32Array 等类型数组；% range 在 range 不是 2 的幂时会有轻微偏差，不过对绝大多数业务场景（如验证码、ID）可忽略。

哪些场景不能只靠 Math.random()

以下情况一旦用错，轻则逻辑异常，重则引发安全漏洞：

• 用户注册时生成 password reset token → 必须用 crypto.randomUUID() 或 crypto.getRandomValues()
• 区块链钱包助记词种子 → 必须用硬件 RNG 或 crypto API，绝不可用 Math.random()
• 在线抽奖系统（尤其是带奖金的）→ 需服务端生成并签名，前端随机仅作视觉动效
• 游戏中的掉落率（如 5% 掉落稀有装备）→ 可用 Math.random()，但需确认是否要求“长期统计稳定”，否则建议用蓄水池或预 shuffle 列表避免连续不掉的玩家投诉

真正难的不是“怎么生成”，而是“怎么判断当前场景需要哪一级别的随机性”——这点常被跳过，直到线上出问题才回头查。

今天带大家了解了的相关知识，希望对你有所帮助；关于文章的技术知识我们会一点点深入介绍，欢迎大家关注golang学习网公众号，一起学习编程~