PHP 8.4 未移除 random_bytes()，仅强化错误处理：非法参数直接抛出 ValueError；须用 try/catch 捕获，不可依赖 false；生成随机字符串应使用 bin2hex() 或 base64_encode() 配合 strtr 转为 URL 安全格式。
PHP 8.4 中已移除 random_bytes() 的旧兼容层，但函数本身仍可用
PHP 8.4 并没有新增或重命名 random_bytes()，它仍是生成加密安全随机字节的核心函数。所谓“php8.4randombytes”不是新函数名，而是误传——你用的还是 random_bytes()，只是 PHP 8.4 进一步收紧了错误处理：比如传入非法长度（负数、超限）会直接抛出 ValueError，不再静默截断或返回 false。
常见错误现象：random_bytes(-1) 在 PHP 8.3 可能返回 false 或警告，PHP 8.4 直接 fatal error；random_bytes(PHP_INT_MAX) 同样触发 ValueError。
- 必须确保参数是正整数，且合理（一般不超过几 KB）
- 不要依赖返回 false 判断失败，改用 try/catch 捕获
Exception和ValueError - 底层仍依赖 OpenSSL、/dev/urandom 或 CryptGenRandom（Windows），无需额外扩展
用 random_bytes() 生成随机字符串的正确写法
直接调用 random_bytes() 返回的是二进制字节，需转换为可读字符串。最常用且安全的方式是用 bin2hex() 或 base64_encode()，但要注意长度控制和字符集需求。
例如生成 16 字符的 URL 安全随机字符串（不含 +、/、=）：
立即学习“PHP免费学习笔记（深入）”；
function random_string(int $length): string
{
if ($length <= 0) {
throw new ValueError('Length must be positive');
}
// 生成 ceil($length * 3 / 4) 字节，确保 base64url 编码后至少 $length 字符
$bytes = random_bytes((int) ceil($length * 3 / 4));
return substr(strtr(base64_encode($bytes), '+/', '-_'), 0, $length);
}关键点：
-
base64_encode()输出含+、/、=，不适合 URL 或文件名；strtr(..., '+/', '-_')是标准 base64url 替换 -
substr(..., 0, $length)是安全截断，因 base64 编码后长度略大于原始字节数 - 避免用
md5(random_bytes())等哈希方式——不增加熵，纯属冗余
为什么不用 str_shuffle() 或 rand()？
这些函数在 PHP 8.4 里依然存在，但完全不适用于安全场景：
-
str_shuffle()基于伪随机数生成器（PRNG），种子易预测，输出可重现 -
rand()、mt_rand()都是非加密级的，PHP 8.4 已明确标记mt_rand()为 “not suitable for cryptographic purposes” - 即使拼接时间戳、进程 ID 等，也无法弥补熵源缺陷，审计工具（如 Psalm、PHPStan）会直接报 warning
真实使用场景：API token、密码重置码、session ID 生成——这些必须用 random_bytes()。
兼容性与性能注意点
random_bytes() 在 PHP 7.0+ 全版本可用，PHP 8.4 无性能退化，但有两点易被忽略：
- 在 chroot 或容器中若缺少
/dev/urandom且 OpenSSL 不可用，会抛出Exception（不是ValueError），需提前验证环境 - 高并发下反复调用
random_bytes(1)比random_bytes(32)单次取多字节慢 3–5 倍（系统调用开销），建议按需批量生成再切分 - 如果项目仍需支持 PHP paragonie/random_compat polyfill，但该库已于 2022 年归档，PHP 8.4 下不应再引入
真正麻烦的从来不是函数怎么写，而是忘记检查运行时熵源是否就绪，或者把 base64url 截断逻辑写错导致末尾出现 =。
