PHP如何正确生成唯一令牌？现有生成方案是否存在重复风险？

现有方案的碰撞概率 #

你当前的实现存在冗余处理步骤：bin2hex()会将随机字节转为十六进制字符串，再做base64编码属于不必要的运算，不过最终生成的22位有效随机段的熵依然足够高。
你使用preg_replace('/\W/', "")过滤后，剩余有效字符为大小写字母、数字、下划线共63种，单段22位的总熵约为131比特。按照生日悖论计算，即使你累计生成10亿个令牌，碰撞概率也仅为约2.5e-22，远低于十亿分之一，日常场景下几乎不可能出现自然碰撞。

无需预先检查即可保证无重复的令牌生成方案 #

存在两类成熟方案可以实现无需前置检查即可避免重复：

• 采用带唯一标识的生成逻辑：拼接毫秒级时间戳+当前进程ID/实例标识+固定长度随机段，只要同一毫秒内单进程生成的令牌数量不超过随机段的组合上限，就完全不会出现重复，UUID v7就是这类思路的标准化实现。
• 绑定数据库唯一主键：先插入一条占位记录获取全局唯一的自增ID，再通过可逆混淆算法将ID转为无规律字符串，拼接前缀或随机段作为最终令牌，因为自增ID天然唯一，最终生成的令牌也不可能重复。

「先查再写」方案的合理性调整 #

你当前的思路逻辑通顺，但存在并发漏洞：高并发场景下两个相同的令牌可能同时通过存在性校验，最终重复写入数据库。更稳妥的优化方向有两个：

• 给数据库的令牌字段添加唯一索引，生成令牌后直接尝试写入，捕获唯一索引冲突异常时再重新生成即可，相比先查再写性能更高，还能完全规避并发问题。
• 直接使用上文提到的低碰撞/无碰撞生成方案，省去检查步骤直接写入即可。

现有代码优化参考 #

你可以简化冗余的编码步骤，提升执行效率：

private function create_token(string $reference, int $bytes = 16, int $slice = 22): string
{
    // 直接生成随机字节，base64编码后剔除特殊字符
    $randomStr = str_replace(['+', '/', '='], '', base64_encode(random_bytes($bytes)));
    return $reference . substr($randomStr, 0, $slice);
}

内容的提问来源于stack exchange，提问作者Giulia