Wie einzigartig ist uniqid?

Diese Frage ist nicht wirklich ein Problem bei der Suche nach einer Lösung, sondern eher eine Frage der einfachen Neugier. Die PHP-Uniqid-Funktion verfügt über ein Entropie-Flag, um die Ausgabe "eindeutiger" zu machen. Ich habe mich gefragt, wie wahrscheinlich es ist, dass diese Funktion mehr als einmal dasselbe Ergebnis liefert, wenn more_entropy wahr ist, im Gegensatz dazu, wenn dies nicht der Fall ist. Mit anderen Worten, wie eindeutig ist Uniqid, wenn more_entropy aktiviert ist, im Vergleich zu deaktiviert? Gibt es Nachteile, wenn more_entropy ständig aktiviert ist?

Update, März 2014:

Erstens ist es wichtig zu beachten, dass dies uniqideine Fehlbezeichnung ist, da keine eindeutige ID garantiert wird.

Gemäß der PHP-Dokumentation :

WARNUNG!

Diese Funktion erstellt keine zufälligen oder unvorhersehbaren Zeichenfolgen. Diese Funktion darf nicht aus Sicherheitsgründen verwendet werden. Verwenden Sie kryptografisch sichere Zufallsfunktionen / Generatoren und kryptografisch sichere Hash-Funktionen, um eine unvorhersehbare sichere ID zu erstellen.

Und

Diese Funktion generiert keine kryptografisch sicheren Token. Ohne zusätzliche Parameter unterscheidet sich der Rückgabewert kaum von microtime () . Wenn Sie kryptografisch sichere Token generieren müssen, verwenden Sie openssl_random_pseudo_bytes () .

Wenn Sie mehr Entropie auf true setzen, wird ein eindeutigerer Wert generiert. Die Ausführungszeit ist jedoch länger (wenn auch zu einem winzigen Grad).

Wenn auf TRUE gesetzt, fügt uniqid () am Ende des Rückgabewerts zusätzliche Entropie hinzu (unter Verwendung des kombinierten linearen Kongruenzgenerators), was die Wahrscheinlichkeit erhöht, dass das Ergebnis eindeutig ist.

Beachten Sie die Linie increases the likelihood that the result will be uniqueund nicht, dass dies die Eindeutigkeit garantiert .

Sie können "endlos" bis zu einem gewissen Punkt nach Einzigartigkeit streben und diese mithilfe einer beliebigen Anzahl von Verschlüsselungsroutinen verbessern, indem Sie Salze und dergleichen hinzufügen - dies hängt vom Zweck ab.

Ich würde empfehlen, die Kommentare zum Hauptthema von PHP zu lesen, insbesondere:

http://www.php.net/manual/en/function.uniqid.php#96898

http://www.php.net/manual/en/function.uniqid.php#96549

http://www.php.net/manual/en/function.uniqid.php#95001

Was ich empfehlen würde, ist herauszufinden, warum Sie Eindeutigkeit benötigen, aus Sicherheitsgründen (dh um eine Verschlüsselungs- / Verschlüsselungsroutine zu ergänzen)? Auch Wie einzigartig braucht es zu sein? Schauen Sie sich zum Schluss die Geschwindigkeitsüberlegung an. Die Eignung ändert sich mit den zugrunde liegenden Überlegungen.

Dinge sind nur dann einzigartig, wenn Sie überprüfen, ob sie noch nicht vorhanden sind. Es spielt keine Rolle, mit welcher Funktion Sie eine 'zufällige' Zeichenfolge oder ID generieren - wenn Sie nicht überprüfen, ob es sich nicht um ein Duplikat handelt, besteht immer diese Chance ..;)

Während uniqid auf der aktuellen Zeit basiert, gilt der obige Warnhinweis weiterhin - es hängt nur davon ab, wo Sie diese "eindeutigen IDs" verwenden. Der Hinweis auf all dies ist, wo es "einzigartiger" sagt. Einzigartig ist einzigartig ist einzigartig. Wie man etwas mehr oder weniger Einzigartiges haben kann, ist für mich etwas verwirrend!

Wenn Sie wie oben prüfen und all diese Dinge kombinieren, erhalten Sie etwas, das sich der Einzigartigkeit nähert, aber alles hängt davon ab, wo die Schlüssel verwendet werden und im Kontext. Hoffentlich hilft das!

Aus den Diskussionen über die Funktion auf der PHP-Handbuchseite:

Wie andere unten erwähnen, gibt diese Funktion ohne Präfix und ohne "hinzugefügte Entropie" einfach den UNIX-Zeitstempel mit hinzugefügtem Mikrosekundenzähler als Hex-Zahl zurück. Es ist mehr oder weniger nur microtime () in hexit-Form.

[...]

Beachten Sie auch, dass uniqid () in einer Windows-Umgebung möglicherweise nur den UNIX-Zeitstempel mit einer Auflösung von einer Sekunde liefert, da microtime () nur auf Systemen funktioniert, auf denen gettimeofday ()> vorhanden ist, was Windows nativ NICHT tut.

Mit anderen Worten, ohne "more_entropy" ist die Funktion absolut schrecklich und sollte niemals verwendet werden, Punkt. Gemäß der Dokumentation verwendet das Flag einen "kombinierten linearen Kongruenzgenerator", um "Entropie hinzuzufügen". Nun, das ist ein ziemlich schwaches RNG. Also würde ich diese Funktion komplett überspringen und etwas verwenden, das auf mt_rand basiert, mit einem guten Startwert für Dinge, die nicht sicherheitsrelevant sind, und SHA-256 für Dinge, die nicht sicherheitsrelevant sind.

Ohne das Flag more_unique wird der Unix-Zeitstempel mit einem Mikrosekundenzähler zurückgegeben. Wenn also zwei Aufrufe mit derselben Mikrosekunde getätigt werden, geben sie dieselbe 'eindeutige' ID zurück.

Von dort ist es eine Frage, wie wahrscheinlich das ist. Die Antwort ist nicht sehr, aber nicht in abschätzbarem Maße. Wenn Sie eine eindeutige ID benötigen und diese häufig generieren (oder mit Daten arbeiten, die an anderer Stelle generiert wurden), rechnen Sie nicht damit, dass diese absolut eindeutig ist.

Das relevante Bit aus dem Quellcode ist

if (more_entropy) {
    uniqid = strpprintf(0, "%s%08x%05x%.8F", prefix, sec, usec, php_combined_lcg() * 10);
} else {
    uniqid = strpprintf(0, "%s%08x%05x", prefix, sec, usec);
}

So more_entropyfügt neun etwas zufällig Dezimalstellen ( php_combined_lcg()liefert einen Wert in (0,1)) - , die 29,9 Bits der Entropie ist, Tops (in Wirklichkeit wahrscheinlich weniger als LCG ist kein kryptographisch sicheren Pseudozufallszahlengenerator).