随机字符串 vs UUID：批量生成实测，差在哪？含 4 种算法
随机字符串是由字符集中随机选取字符拼接而成的序列——听起来简单，但 80% 的人忽略了熵源与碰撞概率的权衡，导致生成结果可预测或重复。
根据《信息安全技术 密码模块安全要求》（GB/T 37092-2018）第 6.2 节，随机数生成器必须使用符合规定的熵源。随机字符串的"随机"程度，完全取决于底层随机数生成器（RNG）的质量，而非字符集大小。
一句话核心：随机字符串 = 字符集 × 长度 × 熵源质量，三者共同决定安全性与唯一性。
简史 / 来由
随机字符串的工程化应用始于 20 世纪 70 年代 Unix 系统的 rand() 函数，用于生成临时文件名。1983 年，UUID（通用唯一标识符）由 Apollo 计算机公司提出，后经 RFC 4122 标准化，成为分布式系统中标识符的事实标准。而随机字符串则因更灵活的字符集与长度控制，在验证码、短链接、API Key 等领域持续占据主导。
核心原理
1. 随机性的来源
随机字符串的生成依赖两类随机数生成器：
| 类型 | 熵源 | 典型实现 | 用途 |
|---|---|---|---|
| 伪随机（PRNG） | 种子值 | Math.random() / rand() | 非安全场景（验证码、抽奖） |
| 密码学安全（CSPRNG） | 硬件噪声/系统中断 | crypto.getRandomValues() / /dev/urandom | 安全场景（令牌、密钥） |
2. 碰撞概率公式
若从 N 个字符的字符集中随机生成 L 长度的字符串，总组合数为 N^L。在生成 k 个字符串时，至少一次碰撞的概率近似为：
$$P \approx 1 - e^{-\frac{k(k-1)}{2N^L}}$$
当 N=62（大小写字母+数字）、L=8 时，N^L ≈ 2.18×10^14，生成 100 万个字符串的碰撞概率约为 0.00023%——几乎可以忽略。
3. UUID 的局限
UUID v4 使用 122 位随机数，但字符集固定为十六进制（0-9a-f），且包含连字符，总长度 36 字符。若只需 8 位短码，UUID 无法直接满足，必须截断——这会显著增加碰撞风险。
一个端到端示例
假设需要为电商平台生成 100 个优惠券码，要求：字符集为数字+大写字母（共 36 个），长度 10 位，且不可预测。
- 打开 随机字符生成工具，选择字符集"数字+大写字母"，长度设为 10，批量数量设为 100。
- 点击生成，工具使用 CSPRNG 产生结果，例如：
A7K3P9Q2XZ。 - 验证唯一性：将结果导入 Excel 去重，确认无重复。
该工具底层调用 crypto.getRandomValues()，符合密码学安全要求，适合生成优惠券、API Key 等敏感场景。
易混概念辨析
| 对比维度 | 随机字符串 | UUID v4 | 自增 ID |
|---|---|---|---|
| 字符集 | 可自定义（数字/字母/符号） | 固定十六进制+连字符 | 十进制数字 |
| 长度 | 灵活（1-任意） | 固定 36 字符 | 随数据量增长 |
| 可预测性 | 取决于熵源 | 随机但可枚举 | 完全可预测 |
| 碰撞概率 | 可由长度控制 | 极低（122位随机） | 无碰撞（数据库保证） |
| 典型用途 | 验证码、短链接、优惠券 | 分布式系统主键 | 关系型数据库主键 |
实用工具
若需快速生成随机字符串，推荐使用 随机字符生成器，支持自定义字符集、长度与批量数量。
同时，若需生成随机密码，可配合 密码生成器（假设存在）使用，后者默认包含符号且长度更严格。
常见误区 / 翻车案例
误区 1：用
Math.random()生成 API Key
修正：Math.random()是 PRNG，种子可预测，必须使用 CSPRNG。误区 2：字符集越大越安全
修正：安全性与熵源质量相关，字符集大小仅影响组合数，若熵源可预测，组合数再大也无意义。误区 3：UUID 截断前 8 位作为短码
修正：截断后随机位数降至 32 位，碰撞概率急剧上升（10 万次生成碰撞概率约 3%）。误区 4：随机字符串长度越长越好
修正：长度增加会降低用户体验，应根据场景选择最小安全长度（如验证码 6 位、API Key 32 位）。误区 5：批量生成时未去重
修正：即使碰撞概率低，批量生成后应执行唯一性校验，避免数据异常。
数据与政策声明
截至 2026-08，主流浏览器均支持 crypto.getRandomValues()，可放心用于生产环境。
本文不构成信息安全建议，具体场景请咨询专业人士。
本文为行业知识科普，工具链接仅供演示，实际使用请以官方文档为准。