使用RandomNumberGenerator.GetInt32()生成加密安全随机字符串是否可靠？

是的，你用RandomNumberGenerator.GetInt32()生成字符集索引的方式完全符合加密安全要求，这是一种现代、简洁且正确的实现方式。

为什么这个方法安全？ #

RandomNumberGenerator.GetInt32(int maxValue)是.NET官方专门设计的加密安全随机整数生成方法，它解决了一个关键问题：模偏差。当maxValue不是2的幂时，直接用随机数取模会导致某些数值出现的概率略高，而GetInt32()内部会自动通过重试或截断逻辑，确保生成的索引在[0, maxValue-1]范围内均匀分布，完全满足加密安全的随机性要求。

为什么很多旧回答用GetBytes()？ #

你看到的那些用GetBytes()的方案，大多是因为GetInt32()是在.NET Core 2.1、.NET Framework 4.7.2之后才新增的API。在这之前，开发者只能通过GetBytes()获取随机字节，然后手动处理模偏差问题（比如拒绝采样），所以那些旧写法是为了兼容更早的框架版本。你的写法是更现代、更简洁的最优解。

一些额外的优化建议 #

• 给charSet加参数校验：如果传入空字符串或长度为0，会抛出索引越界异常，建议先判断charSet.Length > 0。
• 避免重复字符：如果charSet里有重复字符，会破坏字符的均匀分布概率（比如同一个字符出现两次，它被选中的概率会翻倍），确保你的字符集是唯一字符的集合。
• 性能方面：GetInt32()内部已经做了优化，比手动处理GetBytes()的实现更高效，不需要担心性能问题。

内容的提问来源于stack exchange，提问作者Arad