Go crypto/rand 怎样生成固定字节数随机值

如果业务只需要“固定长度的不可预测字节”，Go 标准库的直接答案是 crypto/rand.Read：先按目标长度创建 []byte，再把它交给 rand.Read 填充。官方文档说明，这个函数会填满整个切片，并使用加密安全的随机源。

官方地址：https://pkg.go.dev/crypto/rand

长度由切片决定，不是由 rand.Read 额外传入；需要文本时再做编码。令牌、会话标识、密钥材料等不可预测值不要用 math/rand 代替。

固定字节数的核心写法

例如要生成 32 字节的随机材料，先创建长度为 32 的切片，再读取。这里的长度是字节数，不是字符数，也不是十六进制字符串的显示长度。

package main

import (
    "crypto/rand"
    "fmt"
    "log"
)

func randomBytes(size int) ([]byte, error) {
    if size 

这段代码的输出长度由 len(value) 决定，调用 randomBytes(16) 就得到 16 字节，调用 randomBytes(32) 就得到 32 字节。不要把随机结果直接打印出来；“随机”不等于“可以公开”。

二进制结果如何变成可复制文本

随机字节可能包含不可打印值。需要放进 JSON、URL、Cookie 或配置文件时，应在边界处编码，而不是修改随机源本身。十六进制便于排查，Base64 通常更紧凑。

package main

import (
    "crypto/rand"
    "encoding/base64"
    "encoding/hex"
    "fmt"
)

func main() {
    raw := make([]byte, 24)
    // 24 字节的随机源与后续文本编码分离，长度语义更清楚。
    if _, err := rand.Read(raw); err != nil {
        panic(err)
    }

    hexText := hex.EncodeToString(raw)
    base64Text := base64.RawURLEncoding.EncodeToString(raw)
    // 只演示编码后的长度；生产环境不要记录真实令牌。
    fmt.Println("hex 字符数:", len(hexText))
    fmt.Println("Base64URL 字符数:", len(base64Text))
}

24 字节编码成十六进制后会得到 48 个字符，因为每个字节需要两个十六进制字符。base64.RawURLEncoding 适合 URL 场景，它使用 URL 安全字符集并省略尾部填充；如果协议要求标准 Base64，则改用 base64.StdEncoding，不要混用两种格式。

crypto/rand 和 math/rand 怎么选

crypto/rand 面向不可预测的随机值，标准库文档将其定义为加密安全随机数生成器；全局 rand.Reader 可以并发使用。math/rand 更适合模拟、抽样、洗牌等不需要保密性的场景，不能拿来生成密码重置令牌、会话密钥或签名随机数。

长度、错误和生命周期的几个边界

零长度切片不会产生有效令牌，应在业务函数入口拒绝。固定长度只说明熵材料的字节数，不代表编码后的文本也保持相同字符数。还要注意，编码后的字符串可以被复制和缓存，敏感值使用完应尽量缩短生命周期，避免进入日志、错误消息和调试输出。

虽然当前标准库的 rand.Read 会填满切片，但保留错误处理仍然有价值：它让函数边界清楚，也便于未来替换测试 Reader 或处理异常环境。不要为了省一行代码而无条件忽略错误。

常见问题

想要 32 个字符，是不是传 32 给 make 就够了？

不一定。传 32 得到的是 32 字节；十六进制编码后是 64 个字符，Base64 编码后的字符数也由编码规则决定。如果需求是“文本长度固定”，应先确定字符集和编码，再反推所需字节数。

可以直接把随机字节转成 string 吗？

不建议把任意随机字节直接当作可读文本。它可能包含控制字节或无效 UTF-8；面向外部接口时使用十六进制或 Base64。

为什么不能用 math/rand 生成令牌？

因为令牌安全性依赖不可预测性。普通伪随机序列的设计目标不是抵抗猜测，哪怕结果看起来“够随机”，也不应承担安全凭据的职责。

实际选择可以压缩成一句话：先用 make([]byte, n) 明确材料长度，再用 crypto/rand.Read 填充，最后根据接口要求选择十六进制或 Base64URL 编码；不要把生成、编码和日志输出混成一步。