Generazione di un token non percettibile per e-mail di conferma

Vuoi una casualità inconcepibile. Quindi, usa casualità non percettibile. Usa openssl_random_pseudo_bytes() che si inserirà nel PRNG strong crittograficamente . Non utilizzare rand() o mt_rand() , poiché questi sono prevedibili ( mt_rand() è statisticamente buono ma non regge contro attaccanti senzienti). Non scendere a compromessi, usa un buon PRNG. Non cerca di creare qualcosa tu stesso lanciando la funzione di hash e simili; solo il dolore si trova alla fine di questo percorso.

Genera 16 byte, quindi li codifica in una stringa se hai bisogno di una stringa. bin2hex() codifica in esadecimale; 16 byte diventano 32 caratteri. base64_encode() codifica in Base64; 16 byte diventano 24 caratteri (gli ultimi due dei quali sono segni '=').

16 byte è 128 bit, questo è il "valore sicuro" che rende le collisioni così assolutamente improbabili da non doverti preoccupare di esse. Non andare al di sotto di questo se non hai una buona ragione (e, anche in questo caso, non andare comunque al di sotto dei 16).

Assicurati di avere supporto OpenSSL , e non fallirai mai con questo one-liner

$token = bin2hex(openssl_random_pseudo_bytes(16));

In PHP 7, puoi semplicemente usare random_bytes :

Generates an arbitrary length string of cryptographic random bytes that are suitable for cryptographic use, such as when generating salts, keys or initialization vectors.

Quindi per generare un token esadecimale a 16 byte si dovrebbe fare:

$token = bin2hex(random_bytes(16));

Formalmente, non vi è alcuna garanzia che tutti i numeri siano unici. Ma è improbabile che una collisione possa accadere che starai meglio a preoccuparti di essere colpito da un metroorite.

Questa è la funzione che uso per generare un token casuale in PHP:

<?php
function generateToken($length = 24) {
        if(function_exists('openssl_random_pseudo_bytes')) {
            $token = base64_encode(openssl_random_pseudo_bytes($length, $strong));
            if($strong == TRUE)
                return strtr(substr($token, 0, $length), '+/=', '-_,'); //base64 is about 33% longer, so we need to truncate the result
        }

        //fallback to mt_rand if php < 5.3 or no openssl available
        $characters = '0123456789';
        $characters .= 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz/+'; 
        $charactersLength = strlen($characters)-1;
        $token = '';

        //select some random characters
        for ($i = 0; $i < $length; $i++) {
            $token .= $characters[mt_rand(0, $charactersLength)];
        }        

        return $token;
}
?>