PHPでランダムなパスワードを生成する

私はphpでランダムなパスワードを生成しようとしています。

しかし、すべての 'a'を取得しており、戻り値の型は配列型であり、文字列にしたいと考えています。コードを修正する方法に関するアイデアはありますか？

ありがとう。

function randomPassword() {
    $alphabet = "abcdefghijklmnopqrstuwxyzABCDEFGHIJKLMNOPQRSTUWXYZ0123456789";
    for ($i = 0; $i < 8; $i++) {
        $n = rand(0, count($alphabet)-1);
        $pass[$i] = $alphabet[$n];
    }
    return $pass;
}

セキュリティ警告：rand()暗号的に安全な疑似乱数ジェネレータではありません。PHPで暗号的に安全な疑似ランダム文字列を生成するための別の場所を探してください。

これを試してください（文字列は常にであるため、のstrlen代わりに使用してください）：countcount1

function randomPassword() {
    $alphabet = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ1234567890';
    $pass = array(); //remember to declare $pass as an array
    $alphaLength = strlen($alphabet) - 1; //put the length -1 in cache
    for ($i = 0; $i < 8; $i++) {
        $n = rand(0, $alphaLength);
        $pass[] = $alphabet[$n];
    }
    return implode($pass); //turn the array into a string
}

デモ：http : //codepad.org/UL8k4aYK

TL; DR：

• 以下の使用random_int()と指定random_str()。
• がない場合はrandom_int()、random_compatを使用します。

説明：

パスワードを生成しているので、生成するパスワードが予測不能であることを確認する必要があります。このプロパティが実装に存在することを確認する唯一の方法は、暗号で保護された疑似乱数ジェネレータ（CSPRNG）を使用することです。

CSPRNGの要件は、ランダム文字列の一般的なケースでは緩和できますが、セキュリティが関係している場合は緩和できません。

PHPでのパスワード生成に対する単純で安全な正しい答えは、RandomLibを使用し、ホイールを再発明しないことです。このライブラリは、業界のセキュリティ専門家と私自身によって監査されています。

独自のソリューションの開発を好む開発者のために、PHP 7.0.0はrandom_int()この目的を提供します。まだPHP 5.xを使用している場合は、PHP 7がリリースされる前に新しいAPIを使用できるように、PHP 5のポリフィルを作成しましrandom_int()た。私たちの使用random_int()ポリフィルことで、おそらく独自の実装を書くよりも安全。

安全なランダム整数ジェネレーターを使用すると、安全なランダム文字列の生成はパイよりも簡単です。

<?php
/**
 * Generate a random string, using a cryptographically secure 
 * pseudorandom number generator (random_int)
 * 
 * For PHP 7, random_int is a PHP core function
 * For PHP 5.x, depends on https://github.com/paragonie/random_compat
 * 
 * @param int $length      How many characters do we want?
 * @param string $keyspace A string of all possible characters
 *                         to select from
 * @return string
 */
function random_str(
    $length,
    $keyspace = '0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ'
) {
    $str = '';
    $max = mb_strlen($keyspace, '8bit') - 1;
    if ($max < 1) {
        throw new Exception('$keyspace must be at least two characters long');
    }
    for ($i = 0; $i < $length; ++$i) {
        $str .= $keyspace[random_int(0, $max)];
    }
    return $str;
}

特定の方法でパスワードを生成しようとしていることはわかっていますが、この方法も確認したい場合があります...

$bytes = openssl_random_pseudo_bytes(2);

$pwd = bin2hex($bytes);

これはphp.netサイトから取得され、openssl_random_pseudo_bytes関数に入力した数値の2倍の長さの文字列を作成します。したがって、上記は4文字の長さのパスワードを作成します。

要するに...

$pwd = bin2hex(openssl_random_pseudo_bytes(4));

8文字の長さのパスワードを作成します。

ただし、パスワードには0〜9の数字と小文字のa〜fしか含まれていないことに注意してください。

2行の小さなコード。

デモ：http : //codepad.org/5rHMHwnH

function rand_string( $length ) {

    $chars = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789";
    return substr(str_shuffle($chars),0,$length);

}

echo rand_string(8);

rand_stringを使用すると、作成する文字の量を定義できます。

PHP7を使用している場合は、次のrandom_int()関数を使用できます。

function generate_password($length = 20){
  $chars =  'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz'.
            '0123456789`-=~!@#$%^&*()_+,./<>?;:[]{}\|';

  $str = '';
  $max = strlen($chars) - 1;

  for ($i=0; $i < $length; $i++)
    $str .= $chars[random_int(0, $max)];

  return $str;
}

以下の古い答え：

function generate_password($length = 20){
  $chars =  'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz'.
            '0123456789`-=~!@#$%^&*()_+,./<>?;:[]{}\|';

  $str = '';
  $max = strlen($chars) - 1;

  for ($i=0; $i < $length; $i++)
    $str .= $chars[mt_rand(0, $max)];

  return $str;
}

1行で：

substr(str_shuffle('abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789') , 0 , 10 )

あなたの最善の策は、ircmaxellによるRandomLibライブラリです。

使用例：

$factory = new RandomLib\Factory;
$generator = $factory->getGenerator(new SecurityLib\Strength(SecurityLib\Strength::MEDIUM));

$passwordLength = 8; // Or more
$randomPassword = $generator->generateString($passwordLength);

shuffle()and rand()（通常、パスワード、ソルト、キーなどの機密情報に必要なもの）のような通常のランダム性関数よりも強いランダムな文字列を生成します。

定数ではstrlen($alphabet)なくcountが必要ですalphabet（と同等'alphabet'）。

ただし、randはこの目的に適したランダム関数ではありません。現在の時刻が暗黙的にシードされるため、その出力は簡単に予測できます。さらに、rand暗号的に安全ではありません。したがって、出力から内部状態を判別するのは比較的簡単です。

代わりに、/dev/urandom暗号的にランダムなデータを取得するために読み取ります。

既存の回答のいくつかは近いですが、次のいずれかがあるため、回答を投稿します。

• 総当たり攻撃が容易になるか、同じエントロピーに対してパスワードを長くする必要があるため、希望よりも小さい文字スペース
• RNG暗号学的に安全とみなされていません
• いくつかのサードパーティライブラリの要件であり、自分で実行するために何が必要かを示すのは興味深いかもしれないと思いました

count/strlen生成されたパスワードのセキュリティ、少なくともIMHOは、あなたがそこに到達する方法を超えているため、この回答は問題を回避します。また、PHPを5.3.0以上と想定します。

問題を構成要素に分解してみましょう。

1. 安全な乱数発生源を使用してランダムデータを取得する
2. そのデータを使用して、印刷可能な文字列として表現する

最初の部分では、PHP> 5.3.0が関数を提供しますopenssl_random_pseudo_bytes。ほとんどのシステムは暗号的に強力なアルゴリズムを使用していますが、ラッパーを使用するために確認する必要があることに注意してください。

/**
 * @param int $length
 */
function strong_random_bytes($length)
{
    $strong = false; // Flag for whether a strong algorithm was used
    $bytes = openssl_random_pseudo_bytes($length, $strong);

    if ( ! $strong)
    {
        // System did not use a cryptographically strong algorithm 
        throw new Exception('Strong algorithm not available for PRNG.');
    }        

    return $bytes;
}

2番目の部分base64_encodeでは、バイト文字列を受け取り、元の質問で指定されたものに非常に近いアルファベットを持つ一連の文字を生成するため、これを使用します。私たちが持っ気にしなかった場合+、/および=文字が、最終的な文字列で表示され、我々は、少なくとも結果たい$n長い文字を、我々は単に使用できます。

base64_encode(strong_random_bytes(intval(ceil($n * 3 / 4))));

この3/4要因は、base64エンコーディングの結果、バイト文字列より少なくとも3分の1長い文字列が生成されるためです。$nそれ以外の場合は、結果は4の倍数で最大3文字長くなります。余分な文字は主にパディング文字=であるため、何らかの理由でパスワードが正確な長さであるという制約があった場合は、必要な長さに切り詰めることができます。これは特に、特定のについて$n、すべてのパスワードが同じ数で終わるため、結果のパスワードにアクセスできる攻撃者は、推測する文字が最大2文字少なくなるためです。

追加のクレジットとして、OPの質問のように正確な仕様を満たしたい場合は、もう少し作業を行う必要があります。ここでは、基本的な変換アプローチを省略し、すばやく簡単な方法を使用します。62エントリの長いアルファベットのため、どちらも結果で使用されるよりも多くのランダム性を生成する必要があります。

結果の余分な文字については、結果の文字列からそれらを単に破棄できます。バイト文字列が8バイトで始まる場合、base64文字の最大約25％がこれらの「望ましくない」文字になるため、これらの文字を単に破棄すると、OPが必要とするよりも短い文字列になります。次に、単純に切り捨てて、正確な長さにします。

$dirty_pass = base64_encode(strong_random_bytes(8)));
$pass = substr(str_replace(['/', '+', '='], ['', '', ''], $dirty_pass, 0, 8);

より長いパスワードを生成する場合=、PRNGに使用されるエントロピープールの排出が懸念される場合は、パディング文字が中間結果に占める割合がますます小さくなるため、より無駄のないアプローチを実装できます。

base_convert(uniqid('pass', true), 10, 36);

例えば。 e0m6ngefmj4

編集

コメントで述べたように、長さはブルートフォース攻撃がタイミング攻撃よりも効果的であることを意味するため、「ランダムジェネレーターの安全性」を心配することはあまり関係ありません。特にこの使用例のセキュリティは、ユーザビリティを補完する必要があるため、上記のソリューションは実際に必要な問題に十分対応できます。

ただし、トークンを生成するなど、安全なランダム文字列ジェネレータを検索しているときに偶然見つけた場合（一部の人々は応答に基づいていると思います）は、そのようなコードのジェネレータは次のようになります。

function base64urlEncode($data) {
    return rtrim(strtr(base64_encode($data), '+/', '-_'), '=');
}

function secureId($length = 32) {

    if (function_exists('openssl_random_pseudo_bytes')) {
        $bytes = openssl_random_pseudo_bytes($length);
        return rtrim(strtr(base64_encode($bytes), '+/', '0a'), '=');
    }
    else { // fallback to system bytes

        error_log("Missing support for openssl_random_pseudo_bytes");

        $pr_bits = '';

        $fp = @fopen('/dev/urandom', 'rb');
        if ($fp !== false) {
            $pr_bits .= @fread($fp, $length);
            @fclose($fp);
        }

        if (strlen($pr_bits) < $length) {
            error_log('unable to read /dev/urandom');
            throw new \Exception('unable to read /dev/urandom');
        }

        return base64urlEncode($pr_bits);
    }
}

別のもの（Linuxのみ）

function randompassword()
{
    $fp = fopen ("/dev/urandom", 'r');
    if (!$fp) { die ("Can't access /dev/urandom to get random data. Aborting."); }
    $random = fread ($fp, 1024); # 1024 bytes should be enough
    fclose ($fp);
    return trim (base64_encode ( md5 ($random, true)), "=");
}

少し賢くなります：

function strand($length){
  if($length > 0)
    return chr(rand(33, 126)) . strand($length - 1);
}

こちらで確認してください。

この単純なコードを使用して、中程度の強力なパスワード12の長さを生成します

$password_string = '!@#$%*&abcdefghijklmnpqrstuwxyzABCDEFGHJKLMNPQRSTUWXYZ23456789';
$password = substr(str_shuffle($password_string), 0, 12);

大文字、小文字、数字、特殊文字でこれを試してください

function generatePassword($_len) {

    $_alphaSmall = 'abcdefghijklmnopqrstuvwxyz';            // small letters
    $_alphaCaps  = strtoupper($_alphaSmall);                // CAPITAL LETTERS
    $_numerics   = '1234567890';                            // numerics
    $_specialChars = '`~!@#$%^&*()-_=+]}[{;:,<.>/?\'"\|';   // Special Characters

    $_container = $_alphaSmall.$_alphaCaps.$_numerics.$_specialChars;   // Contains all characters
    $password = '';         // will contain the desired pass

    for($i = 0; $i < $_len; $i++) {                                 // Loop till the length mentioned
        $_rand = rand(0, strlen($_container) - 1);                  // Get Randomized Length
        $password .= substr($_container, $_rand, 1);                // returns part of the string [ high tensile strength ;) ] 
    }

    return $password;       // Returns the generated Pass
}

10桁のパスが必要だとしましょう

echo generatePassword(10);  

出力例：

、IZCQ_IV \ 7

@wlqsfhT（d

1！8 + 1 \ 4 @ uD

クイックワン。シンプルでクリーンで一貫したフォーマットが必要な場合

$pw = chr(mt_rand(97,122)).mt_rand(0,9).chr(mt_rand(97,122)).mt_rand(10,99).chr(mt_rand(97,122)).mt_rand(100,999);

これはこのページの別の回答に基づいています https：//stackoverflow.com/a/21498316/525649ます

この回答では、16進文字のみが生成され0-9,a-fます。16進数のように見えないものについては、これを試してください：

str_shuffle(
  rtrim(
    base64_encode(bin2hex(openssl_random_pseudo_bytes(5))),
    '='
  ). 
  strtoupper(bin2hex(openssl_random_pseudo_bytes(7))).
  bin2hex(openssl_random_pseudo_bytes(13))
)

• base64_encode より広い範囲の英数字を返します
• rtrim=最後に時々削除します

例：

• 32eFVfGDg891Be5e7293e54z1D23110M3ZU3FMjb30Z9a740Ej0jz4
• b280R72b48eOm77a25YCj093DE5d9549Gc73Jg8TdD9Z0Nj4b98760
• 051b33654C0Eg201cfW0e6NA4b9614ze8D2FN49E12Y0zY557aUCb8
• y67Q86ffd83G0z00M0Z152f7O2ADcY313gD7a774fc5FF069zdb5b7

これは、ユーザー用のインターフェースを作成するためにはあまり設定できませんが、いくつかの目的では問題ありません。特殊文字が不足していることを考慮して、文字数を増やしてください。

1. このコードを含むファイルを作成します。

2. コメントのようにそれを呼び出します。

   <?php 
   
   /**
   * @usage  :
   *       include_once($path . '/Password.php');
   *       $Password = new Password;
   *       $pwd = $Password->createPassword(10);
   *       return $pwd;
   * 
   */
   
   class Password {
   
       public function createPassword($length = 15) {
           $response = [];
           $response['pwd'] = $this->generate($length);
           $response['hashPwd'] = $this->hashPwd( $response['pwd'] );
           return $response;
       }
   
       private function generate($length = 15) {
           $chars = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789!@#$%^&*(){}/?,><";
           return substr(str_shuffle($chars),0,$length);
       }
   
       private function hashPwd($pwd) {
           return hash('sha256', $pwd);
       }
   
   }
   
   ?>

より包括的で安全なパスワードスクリプトを作成しました。これにより、2つの大文字、2つの小文字、2つの数字、および2つの特殊文字の組み合わせが作成されます。合計8文字。

$char = [range('A','Z'),range('a','z'),range(0,9),['*','%','$','#','@','!','+','?','.']];
$pw = '';
for($a = 0; $a < count($char); $a++)
{
    $randomkeys = array_rand($char[$a], 2);
    $pw .= $char[$a][$randomkeys[0]].$char[$a][$randomkeys[1]];
}
$userPassword = str_shuffle($pw);

//define a function. It is only 3 lines!   
function generateRandomPassword($length = 5){
    $chars = "0123456789bcdfghjkmnpqrstvwxyzBCDFGHJKLMNPQRSTVWXYZ";
    return substr(str_shuffle($chars),0,$length);
}

//usage
echo generateRandomPassword(5); //random password legth: 5
echo generateRandomPassword(6); //random password legth: 6
echo generateRandomPassword(7); //random password legth: 7

少なくとも1つの小文字、1つの大文字、1つの数字、および1つの特殊文字を含む長さ8の強力なパスワードを生成します。コードの長さも変更できます。

function checkForCharacterCondition($string) {
    return (bool) preg_match('/(?=.*([A-Z]))(?=.*([a-z]))(?=.*([0-9]))(?=.*([~`\!@#\$%\^&\*\(\)_\{\}\[\]]))/', $string);
}

$j = 1;

function generate_pass() {
    global $j;
    $allowedCharacters = '0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ~`!@#$%^&*()_{}[]';
    $pass = '';
    $length = 8;
    $max = mb_strlen($allowedCharacters, '8bit') - 1;
    for ($i = 0; $i < $length; ++$i) {
        $pass .= $allowedCharacters[random_int(0, $max)];
    }

    if (checkForCharacterCondition($pass)){
        return '<br><strong>Selected password: </strong>'.$pass;
    }else{
        echo 'Iteration '.$j.':  <strong>'.$pass.'</strong>  Rejected<br>';
        $j++;
        return generate_pass();
    }

}

echo generate_pass();

この関数は、パラメーターのルールに基づいてパスワードを生成します

function random_password( $length = 8, $characters = true, $numbers = true, $case_sensitive = true, $hash = true ) {

    $password = '';

    if($characters)
    {
        $charLength = $length;
        if($numbers) $charLength-=2;
        if($case_sensitive) $charLength-=2;
        if($hash) $charLength-=2;
        $chars = "abcdefghijklmnopqrstuvwxyz";
        $password.= substr( str_shuffle( $chars ), 0, $charLength );
    }

    if($numbers)
    {
        $numbersLength = $length;
        if($characters) $numbersLength-=2;
        if($case_sensitive) $numbersLength-=2;
        if($hash) $numbersLength-=2;
        $chars = "0123456789";
        $password.= substr( str_shuffle( $chars ), 0, $numbersLength );
    }

    if($case_sensitive)
    {
        $UpperCaseLength = $length;
        if($characters) $UpperCaseLength-=2;
        if($numbers) $UpperCaseLength-=2;
        if($hash) $UpperCaseLength-=2;
        $chars = "ABCDEFGHIJKLMNOPQRSTUVWXYZ";
        $password.= substr( str_shuffle( $chars ), 0, $UpperCaseLength );
    }

    if($hash)
    {
        $hashLength = $length;
        if($characters) $hashLength-=2;
        if($numbers) $hashLength-=2;
        if($case_sensitive) $hashLength-=2;
        $chars = "!@#$%^&*()_-=+;:,.?";
        $password.= substr( str_shuffle( $chars ), 0, $hashLength );
    }

    $password = str_shuffle( $password );
    return $password;
}

これがランダムなプレーンパスワード生成ヘルパーです。

パスワードに数字、大文字と小文字、および3つ以上の特殊文字が含まれていることを確認します。

パスワードの長さは11から30の間です。

function plainPassword(): string
{
    $numbers = array_rand(range(0, 9), rand(3, 9));
    $uppercase = array_rand(array_flip(range('A', 'Z')), rand(2, 8));
    $lowercase = array_rand(array_flip(range('a', 'z')), rand(3, 8));
    $special = array_rand(array_flip(['@', '#', '$', '!', '%', '*', '?', '&']), rand(3, 5));

    $password = array_merge(
        $numbers,
        $uppercase,
        $lowercase,
        $special
    );

    shuffle($password);

    return implode($password);
}