如何在C#中生成指定长度的加密强随机字符串（含字母数字字符集限定需求）

当然可以搞定！在C#里生成加密安全的随机字符串，可不能用普通的Random类——它的随机数是基于系统时钟种子生成的，很容易被预测，完全不适合密码、密钥这类需要高安全性的场景。咱们得用专门的加密安全随机数生成器，下面给你详细说怎么做。

首先，先明确你要的字符集：大写字母A-Z、小写字母a-z、数字0-9，咱们先把这个字符集定义好：

private const string ValidChars = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789";

推荐的.NET Core/.NET 5+实现（现代版本） #

用RandomNumberGenerator是目前官方推荐的加密安全随机数生成方式，代码如下：

using System;
using System.Security.Cryptography;
using System.Text;

public static class SecureStringGenerator
{
    private const string ValidChars = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789";

    public static string Generate(int length)
    {
        if (length < 1)
            throw new ArgumentOutOfRangeException(nameof(length), "字符串长度必须大于0");

        var validCharsArray = ValidChars.ToCharArray();
        var resultBuilder = new StringBuilder(length);
        
        // 创建加密安全的随机数生成器实例
        using (var rng = RandomNumberGenerator.Create())
        {
            var randomBytes = new byte[length];
            // 获取指定长度的加密安全随机字节
            rng.GetBytes(randomBytes);
            
            foreach (var b in randomBytes)
            {
                // 将字节转换为字符集范围内的索引，取模确保不会超出字符集长度
                var charIndex = b % validCharsArray.Length;
                resultBuilder.Append(validCharsArray[charIndex]);
            }
        }
        
        return resultBuilder.ToString();
    }
}

.NET Framework兼容版本 #

如果是老项目用.NET Framework，可以用RNGCryptoServiceProvider，逻辑基本一致：

using System;
using System.Security.Cryptography;
using System.Text;

public static class SecureStringGenerator
{
    private const string ValidChars = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789";

    public static string Generate(int length)
    {
        if (length < 1)
            throw new ArgumentOutOfRangeException(nameof(length), "字符串长度必须大于0");

        var validCharsArray = ValidChars.ToCharArray();
        var resultBuilder = new StringBuilder(length);
        
        using (var rng = new RNGCryptoServiceProvider())
        {
            var randomBytes = new byte[length];
            rng.GetBytes(randomBytes);
            
            foreach (var b in randomBytes)
            {
                var charIndex = b % validCharsArray.Length;
                resultBuilder.Append(validCharsArray[charIndex]);
            }
        }
        
        return resultBuilder.ToString();
    }
}

几个关键注意点 #

• 绝对别用Random类：它的随机性不够，容易被攻击者预测，完全不适合加密场景。
• 关于随机分布的小细节：上面的代码用了取模来转换索引，因为字符集长度（62）不是2的幂，理论上会有极其微小的分布偏差，但在绝大多数普通场景下完全可以忽略。如果你的场景要求绝对均匀的分布（比如严格密码学场景），可以用拒绝采样的方式优化：

foreach (var b in randomBytes)
{
    // 计算最大的能被字符集长度整除的字节值
    var maxValidByteValue = byte.MaxValue - (byte.MaxValue % validCharsArray.Length);
    if (b > maxValidByteValue)
    {
        // 重新获取一个符合条件的字节，概率极低，几乎不会循环
        rng.GetBytes(new byte[] { b });
        continue;
    }
    var charIndex = b % validCharsArray.Length;
    resultBuilder.Append(validCharsArray[charIndex]);
}

不过这个优化在一般业务场景下真的没必要，普通取模的版本已经足够好用了。

使用示例 #

调用起来很简单：

// 生成一个16位的加密安全随机字符串
var secureString = SecureStringGenerator.Generate(16);
Console.WriteLine(secureString);

备注：内容来源于stack exchange，提问作者Zombies are Real