短随机字符串能否替代GUID作为本地唯一标识符？业务场景可行性探讨

核心结论 #

在键数量大概率不超过100K的典型业务场景中，用10位[A-Za-z0-9]随机字符串替代GUID是完全合理的——只要碰撞带来的后果不是致命或灾难性的。

碰撞概率分析 #

10位62进制字符的总组合数是62^10 ≈ 8.3×10^14，这个基数极大：

• 当生成100K个键时，单个新键与已有键碰撞的概率约为100000 / 8.3×10^14 ≈ 1.2×10^-10（百亿分之一），几乎可以忽略。
• 即便扩展到1亿个键，单个新键的碰撞概率也仅约1e8 / 8.3e14 ≈ 1.2×10^-7（约8300万分之一），这个概率在非致命场景下完全可接受。

如果用生日悖论计算整体碰撞概率（即任意两个键重复的概率），100K个键的整体碰撞概率约为(1e5)^2 / (2×8.3e14) ≈ 6×10^-6（百万分之六），依然是极低的水平。

Math.random的随机性是否足够？ #

JavaScript的Math.random()是基于伪随机数生成器（PRNG）实现的，它的随机性对于普通业务场景完全够用，但有两个需要注意的点：

• 它的熵值约为53位（受双精度浮点数尾数限制），而生成10位62进制字符需要约59.5位的熵（每个字符对应~5.95位），理论上存在微小的熵不足问题，但在实际业务中几乎不会影响碰撞概率的有效性。
• 如果场景对随机性要求极高（比如涉及安全、加密相关的ID），建议改用密码学安全的随机源，比如浏览器中的crypto.getRandomValues()或Node.js中的crypto.randomBytes()，但普通业务用Math.random()完全没问题。

内容的提问来源于stack exchange，提问作者GGizmos