mt_rand基于梅森旋转算法，非密码学安全但性能高，适合订单号等非敏感场景；min>max时php 7.2+静默返回0；php 7.1+自动播种，但高并发下可能重复；php 8.2+已废弃mt_srand；安全场景须用random_int或random_bytes。
php mt_rand 生成的不是真随机，但对绝大多数场景足够安全
PHP 的 mt_rand 基于梅森旋转算法（Mersenne Twister），它不读取系统熵池，也不是密码学安全的随机源。但正因不依赖硬件或系统调用，它的执行速度比 random_int 快 10 倍以上——适合生成订单号、缓存键、非敏感 Token 等。
如果你需要防暴力枚举的验证码、加密盐值、API 密钥，请立刻换用 random_int 或 openssl_random_pseudo_bytes，mt_rand 在这类场景下会直接翻车。
参数范围写反会导致返回值永远为 0
mt_rand 的两个参数是 min 和 max，顺序不能颠倒。一旦 min > max，PHP 7.2+ 会静默返回 0，且不报错、不警告——这是线上环境最隐蔽的 bug 来源之一。
- ✅ 正确：
mt_rand(1, 100)→ 返回 1–100 之间的整数 - ❌ 错误：
mt_rand(100, 1)→ 永远返回0（PHP 7.2+） - ⚠️ 兼容性注意：PHP 7.1 及更早版本在这种情况下会抛出警告，但很多项目没开
E_WARNING日志，问题被掩盖
不手动播种时，PHP 会自动调用 mt_srand，但别依赖它
从 PHP 7.1 开始，mt_rand 在首次调用时会自动用系统时间 + 进程 ID 播种，无需手动 mt_srand。但这个自动种子仍基于时间戳，如果在同毫秒内并发调用多次（比如 CLI 脚本循环、FPM worker 复用），可能拿到重复序列。
立即学习“PHP免费学习笔记（深入）”；
- 高并发下生成唯一 ID？不要只靠
mt_rand，加microtime(true)或uniqid()拼接 - 测试中需要可重现结果？可以显式调用
mt_srand(12345)，但上线前务必删掉 - PHP 8.2+ 已废弃
mt_srand，未来会被移除，现在就该习惯不调用它
替代方案选型：什么时候该放弃 mt_rand
不是所有“要随机数”的地方都适合 mt_rand。性能和安全性之间有明确分水岭。
- 用户抽奖、游戏掉落率、后台任务调度间隔 →
mt_rand完全够用，且更快 - 生成重置密码链接中的 token → 必须用
random_int(100000, 999999) - 构造 AES 加密 IV → 必须用
random_bytes(16)，mt_rand输出可预测，等于裸奔 - PHP 版本 mt_rand 默认行为，老版本自动播种逻辑有缺陷，必须手动
mt_srand(time() + getmypid())
真正麻烦的不是函数怎么写，而是想清楚这个随机数暴露后，最坏情况是谁能利用它、怎么利用——这决定了你该按哪条路走。