PHP Randomizer 怎么从指定字符集生成固定长度验证码

我在 PHP 项目里第一次把验证码从旧的随机函数换到 Randomizer 时，最在意的不是“能不能随机出字符串”，而是三个边界：字符集能不能控制、长度能不能固定、随机源是否适合安全场景。PHP 8.3 起，Random\\Randomizer::getBytesFromString() 正好把这三个问题拆开处理。

官方地址：https://www.php.net/manual/en/random-randomizer.getbytesfromstring.php

先说结论：准备一组不含混淆字符的 ASCII 字符集，创建使用 Random\\Engine\\Secure 的 Random\\Randomizer，再把字符集和目标长度传给 getBytesFromString()，就能得到固定长度的验证码。短信发送、保存哈希和过期校验仍然属于业务层，不由这个方法完成。

先固定字符集和长度边界

我通常先删掉大写字母里的 O、数字里的 0，也会视使用场景去掉 I、l、1。这样做不是改变随机算法，而是减少人工抄写和客服核对时的歧义。字符集最好使用单字节 ASCII；方法按字节选择输入字符串，不适合直接把中文字符当成“一个候选字符”。

长度参数必须大于等于 1。长度为 6、8 或 20 都是调用方的产品决定，方法只负责返回请求数量的字节。空字符集或零长度会抛出 ValueError，因此不要把空配置默默传入。

完整工作流：显式使用 Secure 随机引擎

官方手册说明，Randomizer 提供的是高层随机 API，底层随机性来自 Random\\Engine。Secure 引擎是安全场景更清晰的选择；即使当前默认引擎已经满足需求，显式写出来也能让代码审查者一眼看出验证码不是为了测试或演示而生成的。

getBytesFromString($alphabet, $length);
}

try {
    echo createCaptcha(6);
} catch (ValueError | InvalidArgumentException $exception) {
    // 配置错误交给调用方处理，不把异常细节直接输出给用户。
    error_log($exception->getMessage());
}
?>

这里的 getBytesFromString($alphabet, $length) 不是把整数转成随机数字，而是从 $alphabet 的字节池中抽取。因而返回值天然受字符集约束，且返回长度就是传入的长度。

字符集重复会改变概率，不能只看字符串长度

这个细节是我觉得最容易被忽略的地方：输入字符串中某个字节出现多次，它被选中的概率就会按出现次数增加。比如把 A 重复写进字符集，并不只是“多放了一个可用字符”，而是在改变分布。如果想让每个字符等概率，字符集里的每个字节应只出现一次。

同理，输入中文或 Emoji 时，PHP 字符串实际保存的是 UTF-8 字节序列，方法可能从一个多字节字符的中间位置取值，结果不应被当成完整人类字符。验证码、邀请码这类需要逐字符展示的内容，使用 ASCII 字符集更稳妥。

常见误区与业务边界

• 把固定长度当成完整安全方案：长度只是输出约束，仍应限制尝试次数、设置有效期，并在服务端保存不可逆校验信息。
• 把 getBytes() 当成验证码接口：getBytes() 返回任意随机字节，可能包含不可打印内容或无效 UTF-8；需要受限字符集时使用 getBytesFromString()。
• 忽略运行时版本：Randomizer 类从 PHP 8.2 开始提供，而 getBytesFromString() 是 PHP 8.3 起的方法。旧运行时应先确认部署版本，再决定兼容实现。
• 把异常当成用户输入：空字符集和小于 1 的长度属于配置或程序错误，应记录并修正，不要把异常文本返回到验证码页面。

速查与相关问题

能不能直接使用中文字符集？

不建议把它当作普通字符验证码方案。该方法按字节选择，中文 UTF-8 一个字符包含多个字节，结果可能不是完整字符。若必须展示中文，应先设计按完整字符抽样的业务实现。

长度传 0 会返回空字符串吗？

不会。官方定义要求长度至少为 1，传入 0 会抛出 ValueError。在业务入口提前检查，可以让错误更容易定位。

对我来说，这个 API 最实用的地方是把“字符集、长度、随机源”变成三个明确参数。只要保持 ASCII 字符集不重复、长度边界清楚，并把验证码生命周期放回业务层，生成部分就足够简单。