Wie einzigartig ist uniqid?

Question 1

Diese Frage ist nicht wirklich ein Problem, das nach einer Lösung sucht, sondern nur eine Frage der einfachen Neugier. Die PHP-Funktion uniqid hat ein Flag für mehr Entropie, um die Ausgabe “einzigartiger” zu machen. Ich habe mich gefragt, wie wahrscheinlich es ist, dass diese Funktion dasselbe Ergebnis mehr als einmal liefert, wenn more_entropy wahr ist, im Vergleich dazu, wenn dies nicht der Fall ist. Mit anderen Worten, wie eindeutig ist uniqid, wenn more_entropy aktiviert ist, im Vergleich zu deaktiviertem? Gibt es irgendwelche Nachteile, wenn more_entropy die ganze Zeit aktiviert ist?

Question 2

Aktualisierung, März 2014:

Zunächst ist es wichtig, dies zu beachten uniqid ist ein bisschen irreführend, da es keine eindeutige ID garantiert.

Pro die PHP-Dokumentation:

WARNUNG!

Diese Funktion erstellt keine zufällige oder unvorhersehbare Zeichenfolge. Diese Funktion darf nicht aus Sicherheitsgründen verwendet werden. Verwenden Sie kryptografisch sichere Zufallsfunktionen/-generatoren und kryptografisch sichere Hash-Funktionen, um unvorhersehbare sichere IDs zu erstellen.

Und

Diese Funktion generiert keine kryptografisch sicheren Token, tatsächlich unterscheidet sich der Rückgabewert kaum, ohne dass zusätzliche Parameter übergeben werden Mikrozeit (). Wenn Sie kryptografisch sichere Token generieren müssen, verwenden Sie openssl_random_pseudo_bytes().

Wenn Sie more-entropy auf true setzen, wird ein eindeutigerer Wert generiert, die Ausführungszeit ist jedoch länger (wenn auch geringfügig), so die Dokumentation:

Wenn auf TRUE gesetzt, fügt uniqid() am Ende des Rückgabewerts zusätzliche Entropie hinzu (unter Verwendung des kombinierten linearen Kongruenzgenerators), was die Wahrscheinlichkeit erhöht, dass das Ergebnis eindeutig ist.

Beachte die Linie increases the likelihood that the result will be unique und nicht das ist Wille Garantie Einzigartigkeit.

Sie können bis zu einem gewissen Punkt “endlos” nach Einzigartigkeit streben und diese mit einer beliebigen Anzahl von Verschlüsselungsroutinen verbessern, indem Sie hinzufügen Salze und dergleichen – es hängt vom Zweck ab.

Ich würde empfehlen, sich die Kommentare zum Hauptthema PHP anzusehen, insbesondere:

http://www.php.net/manual/en/function.uniqid.php#96898

http://www.php.net/manual/en/function.uniqid.php#96549

http://www.php.net/manual/en/function.uniqid.php#95001

Was ich empfehlen würde, ist zu trainieren warum Sie brauchen Eindeutigkeit, ist es für die Sicherheit (dh um eine Verschlüsselungs-/Verschlüsselungsroutine hinzuzufügen)? Ebenfalls, Wie einzigartig muss es sein? Betrachten Sie schließlich die Geschwindigkeitsbetrachtung. Die Eignung ändert sich mit den zugrunde liegenden Überlegungen.

Question 3

Dinge sind nur dann einzigartig, wenn Sie überprüfen, ob sie nicht bereits existieren. Es spielt keine Rolle, welche Funktion Sie verwenden, um eine “zufällige” Zeichenfolge oder ID zu generieren – wenn Sie nicht doppelt überprüfen, ob es sich nicht um ein Duplikat handelt, besteht immer diese Chance.. 😉

Während uniqid auf der aktuellen Zeit basiert, gilt der obige Warnhinweis weiterhin – es hängt nur davon ab, wo Sie diese “eindeutigen IDs” verwenden werden. Der Schlüssel zu all dem ist, wo es heißt “mehr einzigartig”. Einzigartig ist einzigartig ist einzigartig. Wie man etwas haben kann, das mehr oder weniger einzigartig ist, ist für mich ein bisschen verwirrend!

Wenn Sie wie oben prüfen und all diese Dinge kombinieren, erhalten Sie am Ende etwas, das sich der Einzigartigkeit nähert, aber es hängt alles davon ab, wo die Schlüssel verwendet werden, und vom Kontext. Hoffentlich hilft das!

Question 4

Aus den Diskussionen über die Funktion auf der PHP-Handbuchseite:

Wie andere unten anmerken, gibt diese Funktion ohne Präfix und ohne “hinzugefügte Entropie” einfach den UNIX-Zeitstempel mit hinzugefügtem Mikrosekundenzähler als Hexadezimalzahl zurück; es ist mehr oder weniger nur microtime() in Hexit-Form.

[…]

Beachtenswert ist auch, dass, da microtime() nur auf Systemen funktioniert, auf denen gettimeofday() > vorhanden ist, was Windows nativ NICHT tut, uniqid() in einer Windows-Umgebung möglicherweise nur den UNIX-Zeitstempel mit einer Auflösung von einer Sekunde liefert.

Mit anderen Worten, ohne “more_entropy” ist die Funktion absolut schrecklich und sollte niemals verwendet werden, Punkt. Laut Dokumentation verwendet das Flag einen “kombinierten linearen kongruenten Generator”, um “Entropie hinzuzufügen”. Nun, das ist ein ziemlich schwacher RNG. Also würde ich diese Funktion komplett überspringen und etwas verwenden, das auf basiert mt_rand mit einem guten Seed für Dinge, die nicht sicherheitsrelevant sind, und SHA-256 für Dinge, die es sind.

Question 5

Ohne das more_unique-Flag wird der Unix-Zeitstempel mit einem Mikrosekundenzähler zurückgegeben. Wenn also zwei Aufrufe zur selben Mikrosekunde getätigt werden, geben sie dieselbe „eindeutige“ ID zurück.

Von daher ist die Frage, wie wahrscheinlich das ist. Die Antwort ist, nicht sehr, aber nicht in einem diskontierbaren Maße. wenn du müssen eine eindeutige ID haben und diese häufig generieren (oder mit anderswo generierten Daten arbeiten), verlassen Sie sich nicht darauf, dass sie absolut einzigartig ist.

Question 6

Das relevante Bit aus der Quellcode ist

if (more_entropy) {
    uniqid = strpprintf(0, "%s%08x%05x%.8F", prefix, sec, usec, php_combined_lcg() * 10);
} else {
    uniqid = strpprintf(0, "%s%08x%05x", prefix, sec, usec);
}

So more_entropy fügt neun etwas zufällige Dezimalziffern hinzu (php_combined_lcg() gibt einen Wert in zurück (0,1)) – das sind 29,9 Bit Entropie, Spitzenwerte (in Wirklichkeit wahrscheinlich weniger, da LCG kein kryptografisch sicherer Pseudozufallszahlengenerator ist).