Go语言中如何基于高熵种子确定性生成加密安全的随机字节

完全有成熟的合规方案能实现基于高熵种子、确定性输出、满足加密安全要求的随机字节生成，能力上完全可以对齐你提到的Haskell cryptonite库的drgNewSeed接口。

• 你对crypto/rand的问题定位准确：这个包直接对接系统熵源，每次输出受系统随机源影响，没有确定性保障，根本不适合需要固定种子、可复现输出的场景。
• 你对math/rand的风险识别也完全正确：它内置的伪随机算法没有密码学安全强度，哪怕支持种子初始化、输出可复现，也很容易被攻击者预测推导，绝对不能用在加密场景。
• 你正在评估的x/crypto/chacha20方向本身是可行的，但你设想的「把XORKeyStream的src参数设为全1字节」属于完全没必要的冗余操作：ChaCha20是流密码，它生成的密钥流本身就是符合加密安全要求的、由固定密钥+nonce派生的确定性伪随机序列。根据XORKeyStream的运算规则（输出值 = 输入源值 XOR 密钥流），只要把src设为全零，输出的dst就直接等于密钥流本身，完全不需要全1的src值——哪怕你用全1，本质也只是在密钥流基础上多做一层固定值异或，不会提升任何安全性，反而平白增加运算开销。

这类需求在密码学领域的标准实现叫确定性随机位生成器（DRBG），Go生态有两类成熟方案可以直接用：

• 优先选标准扩展的原生实现：直接用x/crypto/drbg包，这个包从设计上就是用来解决「传入固定高熵种子后，输出完全确定、满足加密安全要求的随机字节流」的问题，接口语义和cryptonite的drgNewSeed几乎一模一样，根本不需要自己手动封装流密码逻辑。
• 如果一定要用ChaCha20方案做精简实现，正确的流程是：
  1. 准备固定种子：从持久化存储中提前读取当初用crypto/rand生成的高熵种子，种子总长度至少要够凑出32字节的ChaCha20密钥 + 12字节的ChaCha20 nonce（合计44字节）。
  2. 把种子切片成对应的密钥、nonce参数，调用chacha20.NewUnauthenticatedCipher(key, nonce)初始化密码实例。
  3. 对要生成的目标长度的缓冲区，传入和缓冲区等长的全零源切片调用XORKeyStream，最终缓冲区里的内容就是完全由种子决定的加密安全随机字节。

• 如果你的初始种子长度凑不够ChaCha20要求的参数长度，绝对不要用简单截断、循环拼接填充的方式凑参数，必须用x/crypto/hkdf提供的HKDF密钥派生函数，把短种子派生到需要的密钥、nonce长度，不然会直接引入熵值不足的安全漏洞。
• 这类确定性随机生成器的安全强度完全依托种子的保密性：只要种子不泄露，它输出的随机字节强度和ChaCha20本身的加密安全强度没有区别。

内容的提问来源于stack exchange，提问作者8n8