算法

要生成随机字符串，请连接从可接受符号集合中随机抽取的字符，直到字符串达到所需长度。

实施

这里有一些非常简单且非常灵活的代码，用于生成随机标识符。阅读以下信息，了解重要的应用注意事项。

public class RandomString {

    /**
     * Generate a random string.
     */
    public String nextString() {
        for (int idx = 0; idx < buf.length; ++idx)
            buf[idx] = symbols[random.nextInt(symbols.length)];
        return new String(buf);
    }

    public static final String upper = "ABCDEFGHIJKLMNOPQRSTUVWXYZ";

    public static final String lower = upper.toLowerCase(Locale.ROOT);

    public static final String digits = "0123456789";

    public static final String alphanum = upper + lower + digits;

    private final Random random;

    private final char[] symbols;

    private final char[] buf;

    public RandomString(int length, Random random, String symbols) {
        if (length < 1) throw new IllegalArgumentException();
        if (symbols.length() < 2) throw new IllegalArgumentException();
        this.random = Objects.requireNonNull(random);
        this.symbols = symbols.toCharArray();
        this.buf = new char[length];
    }

    /**
     * Create an alphanumeric string generator.
     */
    public RandomString(int length, Random random) {
        this(length, random, alphanum);
    }

    /**
     * Create an alphanumeric strings from a secure generator.
     */
    public RandomString(int length) {
        this(length, new SecureRandom());
    }

    /**
     * Create session identifiers.
     */
    public RandomString() {
        this(21);
    }

}

用法示例

为8个字符的标识符创建一个不安全的生成器：

RandomString gen = new RandomString(8, ThreadLocalRandom.current());

为会话标识符创建安全生成器：

RandomString session = new RandomString();

创建一个带有易于阅读的代码的生成器，以便打印。字符串比完整的字母数字字符串长，以补偿使用更少的符号：

String easy = RandomString.digits + "ACEFGHJKLMNPQRUVWXYabcdefhijkprstuvwx";
RandomString tickets = new RandomString(23, new SecureRandom(), easy);

用作会话标识符

生成可能是唯一的会话标识符还不够好，或者您可以只使用一个简单的计数器。攻击者在使用可预测标识符时劫持会话。

长度和安全性之间存在紧张关系。更短的标识符更容易猜测，因为可能性更小。但较长的标识符消耗更多的存储和带宽。较大的符号集有帮助，但如果URL中包含标识符或手动重新输入标识符，则可能会导致编码问题。

会话标识符的随机性或熵的潜在来源应该来自为密码学设计的随机数生成器。然而，初始化这些生成器有时会在计算上很昂贵或很慢，因此应尽可能重新使用它们。

用作对象标识符

并非每个应用程序都需要安全性。随机分配可以是多个实体在共享空间中生成标识符的有效方式，而无需任何协调或分区。协调可能会很慢，特别是在集群或分布式环境中，如果实体最终共享的空间太小或太大，则拆分空间会导致问题。

如果攻击者能够查看和操纵标识符，则应通过其他方式保护未采取措施使其不可预测的标识符，这在大多数web应用程序中都会发生。应该有一个单独的授权系统来保护攻击者在没有访问权限的情况下可以猜测其标识符的对象。

考虑到预期的标识符总数，还必须注意使用足够长的标识符，以避免冲突。这被称为“生日悖论”。冲突的概率p约为n2/（2qx），其中n是实际生成的标识符的数量，q是字母表中不同符号的数量，x是标识符的长度。这应该是一个非常小的数字，比如2‑50或更少。

计算结果表明，500k15个字符的标识符之间发生冲突的可能性约为2-52，这可能比宇宙射线等未检测到的错误更不可能。

与UUID的比较

根据他们的规范，UUID不是设计为不可预测的，不应该用作会话标识符。

标准格式的UUID占用了大量空间：36个字符只代表122位熵。（并非“随机”UUID的所有位都是随机选择的。）随机选择的字母数字字符串仅在21个字符中包含更多的熵。

UUID不灵活；它们具有标准化的结构和布局。这是他们的主要优点，也是他们的主要弱点。与外部合作时，UUID提供的标准化可能会有所帮助。对于纯内部使用，它们可能效率低下。

这在没有任何外部库的情况下很容易实现。

1.密码伪随机数据生成（PRNG）

首先，您需要加密PRNG。Java具有SecureRandom，通常使用机器上最好的熵源（例如/dev/random）。在这里阅读更多信息。

SecureRandom rnd = new SecureRandom();
byte[] token = new byte[byteLength];
rnd.nextBytes(token);

注意：SecureRandom是Java中生成随机字节的最慢但最安全的方法。但是，我建议不要在这里考虑性能，因为它通常不会对应用程序产生实际影响，除非您必须每秒生成数百万个令牌。

2.可能值的所需空间

接下来，你必须决定你的令牌需要“多么独特”。考虑熵的唯一目的是确保系统能够抵御暴力攻击：可能值的空间必须如此之大，以至于任何攻击者只能在非荒谬的时间1内尝试微不足道的一部分值。

唯一标识符（如随机UUID）具有122位熵（即，2^122=5.3x10^36）-冲突的可能性为“*（…），要有十亿分之一的重复机会，必须生成103万亿版本4 UUID 2”。我们将选择128位，因为它正好适合16个字节，而且对于基本上每一个但最极端的用例来说，它都是唯一的，而且您不必考虑重复。这是一个简单的熵比较表，包括生日问题的简单分析。

对于简单的需求，8或12字节的长度可能就足够了，但对于16字节，您处于“安全侧”。

基本上就是这样。最后一件事是考虑编码，以便将其表示为可打印文本（读，字符串）。

3.二进制到文本编码

典型编码包括：

Base64每个字符编码6位，产生33%的开销。幸运的是，Java 8+和Android中有标准实现。对于较旧的Java，您可以使用众多第三方库中的任何一个。如果您希望令牌是URL安全的，请使用RFC4648的URL安全版本（大多数实现通常支持该版本）。使用填充编码16个字节的示例：XfJhfv3C0P6ag7y9VQxSbw==Base32每个字符编码5位，产生40%的开销。这将使用A-Z和2-7，使其具有合理的空间效率，同时不区分大小写。JDK中没有任何标准实现。无填充编码16字节的示例：WUPIL5DQZGMF4D3NX5L7LNFOYBase16（十六进制）每个字符编码四位，每个字节需要两个字符（即，16字节创建长度为32的字符串）。因此，十六进制的空间效率低于Base32，但在大多数情况下（URL）使用它是安全的，因为它只使用0-9和A到F。示例编码16个字节：4fadd0f57cb3bf331441ed285b27735。请参阅此处有关转换为十六进制的堆栈溢出讨论。

诸如Base85和奇异Base122之类的附加编码具有更好/更差的空间效率。您可以创建自己的编码（本主题中的大多数答案都是这样做的），但如果您没有非常具体的要求，我建议您不要这样做。请参阅维基百科文章中的更多编码方案。

4.总结和示例

使用SecureRandom至少使用16字节（2^128）的可能值根据您的要求进行编码（如果需要字母数字，通常为十六进制或32进制）

不要

……使用您自己编写的编码：如果其他人看到您使用的标准编码，而不是每次创建字符时使用的奇怪循环，则可以更好地维护和阅读。…使用UUID：它不保证随机性；您浪费了6位熵，并且有一个冗长的字符串表示

示例：十六进制令牌生成器

public static String generateRandomHexToken(int byteLength) {
    SecureRandom secureRandom = new SecureRandom();
    byte[] token = new byte[byteLength];
    secureRandom.nextBytes(token);
    return new BigInteger(1, token).toString(16); // Hexadecimal encoding
}

//generateRandomHexToken(16) -> 2189df7475e96aa3982dbeab266497cd

示例：Base64令牌生成器（URL安全）

public static String generateRandomBase64Token(int byteLength) {
    SecureRandom secureRandom = new SecureRandom();
    byte[] token = new byte[byteLength];
    secureRandom.nextBytes(token);
    return Base64.getUrlEncoder().withoutPadding().encodeToString(token); //base64 encoding
}

//generateRandomBase64Token(16) -> EEcCCAYuUcQk7IuzdaPzrg

示例：Java CLI工具

如果您想要现成的CLI工具，可以使用dice：

示例：相关问题-保护当前ID

如果您已经有一个可以使用的id（例如，实体中的合成long），但不想发布内部值，则可以使用此库对其进行加密和模糊处理：https://github.com/patrickfav/id-mask

IdMask<Long> idMask = IdMasks.forLongIds(Config.builder(key).build());
String maskedId = idMask.mask(id);
// Example: NPSBolhMyabUBdTyanrbqT8
long originalId = idMask.unmask(maskedId);

我使用的是一个非常简单的Java8解决方案。只需根据您的需求进行定制。

...
import java.security.SecureRandom;
...

//Generate a random String of length between 10 to 20.
//Length is also randomly generated here.
SecureRandom random = new SecureRandom();

String sampleSet = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789_";

int stringLength = random.ints(1, 10, 21).mapToObj(x -> x).reduce((a, b) -> a).get();

String randomString = random.ints(stringLength, 0, sampleSet.length() - 1)
        .mapToObj(x -> sampleSet.charAt(x))
        .collect(Collector
            .of(StringBuilder::new, StringBuilder::append,
                StringBuilder::append, StringBuilder::toString));

---

我们可以使用它生成如下的字母数字随机字符串（返回的字符串将强制包含一些非数字字符以及一些数字字符）：

public String generateRandomString() {
            
    String sampleSet = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz_";
    String sampleSetNumeric = "0123456789";
    
    String randomString = getRandomString(sampleSet, 10, 21);
    String randomStringNumeric = getRandomString(sampleSetNumeric, 10, 21);
    
    randomString = randomString + randomStringNumeric;
    
    //Convert String to List<Character>
    List<Character> list = randomString.chars()
            .mapToObj(x -> (char)x)
            .collect(Collectors.toList());
    
    Collections.shuffle(list);
    
    //This is needed to force a non-numeric character as the first String
    //Skip this for() if you don't need this logic

    for(;;) {
        if(Character.isDigit(list.get(0))) Collections.shuffle(list);
        else break;
    }
    
    //Convert List<Character> to String
    randomString = list.stream()
            .map(String::valueOf)
            .collect(Collectors.joining());
    
    return randomString;
    
}

//Generate a random number between the lower bound (inclusive) and upper bound (exclusive)
private int getRandomLength(int min, int max) {
    SecureRandom random = new SecureRandom();
    return random.ints(1, min, max).mapToObj(x -> x).reduce((a, b) -> a).get();
}

//Generate a random String from the given sample string, having a random length between the lower bound (inclusive) and upper bound (exclusive)
private String getRandomString(String sampleSet, int min, int max) {
    SecureRandom random = new SecureRandom();
    return random.ints(getRandomLength(min, max), 0, sampleSet.length() - 1)
    .mapToObj(x -> sampleSet.charAt(x))
    .collect(Collector
        .of(StringBuilder::new, StringBuilder::append,
            StringBuilder::append, StringBuilder::toString));
}

最佳随机字符串生成器方法

public class RandomStringGenerator{

    private static int randomStringLength = 25 ;
    private static boolean allowSpecialCharacters = true ;
    private static String specialCharacters = "!@$%*-_+:";
    private static boolean allowDuplicates = false ;

    private static boolean isAlphanum = false;
    private static boolean isNumeric = false;
    private static boolean isAlpha = false;
    private static final String alphabet = "abcdefghijklmnopqrstuvwxyz";
    private static boolean mixCase = false;
    private static final String capAlpha = "ABCDEFGHIJKLMNOPQRSTUVWXYZ";
    private static final String num = "0123456789";

    public static String getRandomString() {
        String returnVal = "";
        int specialCharactersCount = 0;
        int maxspecialCharacters = randomStringLength/4;

        try {
            StringBuffer values = buildList();
            for (int inx = 0; inx < randomStringLength; inx++) {
                int selChar = (int) (Math.random() * (values.length() - 1));
                if (allowSpecialCharacters)
                {
                    if (specialCharacters.indexOf("" + values.charAt(selChar)) > -1)
                    {
                        specialCharactersCount ++;
                        if (specialCharactersCount > maxspecialCharacters)
                        {
                            while (specialCharacters.indexOf("" + values.charAt(selChar)) != -1)
                            {
                                selChar = (int) (Math.random() * (values.length() - 1));
                            }
                        }
                    }
                }
                returnVal += values.charAt(selChar);
                if (!allowDuplicates) {
                    values.deleteCharAt(selChar);
                }
            }
        } catch (Exception e) {
            returnVal = "Error While Processing Values";
        }
        return returnVal;
    }

    private static StringBuffer buildList() {
        StringBuffer list = new StringBuffer(0);
        if (isNumeric || isAlphanum) {
            list.append(num);
        }
        if (isAlpha || isAlphanum) {
            list.append(alphabet);
            if (mixCase) {
                list.append(capAlpha);
            }
        }
        if (allowSpecialCharacters)
        {
            list.append(specialCharacters);
        }
        int currLen = list.length();
        String returnVal = "";
        for (int inx = 0; inx < currLen; inx++) {
            int selChar = (int) (Math.random() * (list.length() - 1));
            returnVal += list.charAt(selChar);
            list.deleteCharAt(selChar);
        }
        list = new StringBuffer(returnVal);
        return list;
    }   

}

我正在使用Apache Commons的库生成一个字母数字字符串：

import org.apache.commons.lang3.RandomStringUtils;

String keyLength = 20;
RandomStringUtils.randomAlphanumeric(keylength);

它又快又简单！

使用美元应简单如下：

// "0123456789" + "ABCDE...Z"
String validCharacters = $('0', '9').join() + $('A', 'Z').join();

String randomString(int length) {
    return $(validCharacters).shuffle().slice(length).toString();
}

@Test
public void buildFiveRandomStrings() {
    for (int i : $(5)) {
        System.out.println(randomString(12));
    }
}

它输出的内容如下：

DKL1SBH9UJWC
JH7P0IT21EA5
5DTI72EO6SFU
HQUMJTEBNF7Y
1HCR6SKYWGT7