PHP中字符串加整数后求MD5哈希为何失效？

核心原因：PHP的+是算术加法，不是字符串拼接 #

你踩了PHP弱类型的坑——+运算符在PHP里是算术加法，不是字符串拼接。当你把字符串和整数用+相加时，PHP会强制把字符串转换成数值：

• 如果字符串以数字开头（比如"123abc"），会提取开头的数字部分作为数值（这里就是123）；
• 如果字符串开头不是数字（比如"user_123"），直接转成0。

举个实际的例子，假设原代码是：

$str = "my_prefix";
$rand1 = mt_rand(1, 100);
$rand2 = mt_rand(1, 100);
$id = md5($str + $rand1 + $rand2);

这段代码实际执行的是0 + $rand1 + $rand2，得到一个整数，再把这个整数传给md5()——等于完全抛弃了原字符串的内容，生成的ID和你的前缀字符串毫无关系，这和原开发者预期的"字符串+随机数"拼接逻辑完全背离，自然会导致依赖这个ID的程序逻辑异常。

为什么单独传、拼接传都正常？ #

• 单独传字符串/整数给md5()：md5()的参数会被自动转为字符串类型，不管你传的是纯字符串还是整数，都能正常生成哈希值；
• 用.拼接（比如$str . $rand1 . $rand2）：.是PHP的字符串拼接符，会把所有部分拼成一个完整的字符串，传给md5()后能得到符合预期的哈希ID。

字符串+整数传md5()的具体问题 #

1. 逻辑完全错误：丢失了原字符串的特征，生成的ID只和随机数有关，违背了"基于原字符串生成随机ID"的需求；
2. 潜在异常风险：如果字符串转数值时出现溢出（比如超长数字字符串），或者特殊字符导致转换结果异常，可能生成重复ID、无效ID，进而引发程序后续逻辑（比如数据库查询、缓存匹配）出错。

修复方案 #

把所有+换成字符串拼接符.，比如：

$id = md5($str . $rand1 . $rand2);

如果想让随机数的影响更均匀，也可以把随机数插在字符串中间，或者用更安全的随机数生成函数（比如random_int()替代mt_rand()，适合PHP7+）。

内容的提问来源于stack exchange，提问作者JoSch