两段PHP原生代码生成Base32密钥，哪段随机性更强？

两段代码中，第一段生成的密钥随机性更强，具体分析如下：

第一段代码的随机性优势 #

第一段直接基于random_int()实现——这是PHP官方提供的加密安全伪随机数生成器（CSPRNG），逻辑上完全贴合Base32密钥的生成需求：

• 每次循环独立从Base32标准字符集（共32个字符）中选取字符，每个字符的选中概率严格均等（1/32）
• 所有字符的随机性相互独立，无概率偏差，生成的密钥符合加密安全级别的随机性要求

第二段代码的随机性缺陷 #

第二段虽然初始随机源openssl_random_pseudo_bytes()是加密安全的，但后续处理步骤引入了随机性偏差：

1. 字符映射不均匀：先将随机字节转为Base64编码，再过滤掉/=+0189字符，剩余字符的出现概率并非均匀分布（Base64字符集与Base32差异较大，过滤操作会扭曲原始随机分布）
2. 截取操作的风险：过滤后的字符长度不确定，直接取前16个字符会进一步破坏随机性的均匀性，部分位置的随机性依赖于过滤后的序列结构

结论 #

第一段代码的实现更直接、严谨，生成的密钥随机性均匀且可靠；第二段的转换和过滤步骤引入了不必要的概率偏差，随机性表现弱于第一段。

内容的提问来源于stack exchange，提问作者user1286956