随机数生成器 – 即时、免费且真正随机

什么是随机数生成器？

随机数生成器（RNG）是一种系统——可以是计算的、物理的或混合的——它产生一个数字序列，这个序列的预测精度无法超过随机猜测。每个输出值在统计上都与其之前的值无关，并且整个序列没有任何可辨别的模式，观察者无法利用这种模式来预测未来的输出。这个定义听起来很简单，但在实践中实现它却是应用数学和计算机科学中最难的问题之一。

“随机数生成器”一词涵盖了两种本质上不同的概念，而这两种概念常常被混淆：伪随机数生成器（PRNG） ，它使用确定性算法生成看似随机的序列；以及真随机数生成器（TRNG） ，它从宇宙中获取真正的物理熵。第三类，密码学安全的伪随机数生成器（CSPRNG） ，介于两者之间——其实现方式是确定性的，但其设计使得任何计算上可行的攻击都无法将其输出与真正的随机数区分开来。

为什么随机数生成器很重要

随机数生成器（RNG）是科学、安全和日常软件领域不可或缺的基础架构。如果没有可靠的随机性，现代密码学将崩溃：每个TLS会话、每条加密消息、每个数字签名都依赖于必须不可预测的密钥。赌场、彩票和在线游戏都依赖RNG来保证公平性。从气候建模到药物研发，科学模拟都使用随机抽样来近似求解那些解析上难以处理的问题。统计抽样、A/B测试、程序化游戏世界生成，甚至神经网络权重初始化，都需要高质量的随机数。

糟糕的随机性会造成严重的后果，而且有大量文献记载。2012年，研究人员发现互联网上数百万个RSA公钥共享相同的素因子，因为生成这些公钥的设备在启动时熵不足。攻击者只要分解出一个共享的素因子，就能恢复私钥并解密所有通信。2010年，索尼PlayStation 3被攻破，原因是其ECDSA实现对每个签名都重复使用了相同的“随机”nonce——一个重复的值就足以通过代数运算提取出私钥。这些并非极端案例；它们是将随机性视为已解决问题的必然结果。

主要应用领域

• 密码学与安全：密钥生成、初始化向量、随机数、盐值、会话令牌和证书序列号。
• 模拟和建模：蒙特卡罗方法、随机微分方程、粒子物理模拟、流行病学模型。
• 游戏和赌博：洗牌、掷骰子、老虎机结果、程序化关卡生成、战利品表。
• 统计和研究：随机抽样、随机对照试验、自助法、交叉验证分割。
• 分布式系统：领导者选举、带抖动的负载均衡、带随机延迟的指数退避。
• 机器学习：权重初始化、dropout掩码、数据增强、随机梯度下降。

伪随机数生成器的工作原理

伪随机数生成器 (PRNG) 以一个种子（单个数字或一小块数据）开始，并重复应用一个确定性的数学函数来生成一长串输出。给定相同的种子，该序列可以完全复现；而给定不同的种子，该序列则会完全不同。PRNG 的质量取决于它通过随机性统计检验的程度，以及（对于安全应用而言）其内部状态是否可以从输出中推断出来。

线性同余生成器

最古老、最简单的伪随机数生成器（PRNG）族使用递归式X _{_n+1} = (aX_{_n} + c) mod m ，其中 a、c 和 m 是精心选择的常数。C 标准库中的rand()函数在许多实现中都是一个线性同余生成器（LCG）。LCG 速度快、易于实现，但存在严重的缺陷：低位循环周期很短，完整序列周期最多为 m，并且内部状态很容易从少量输出中恢复。它们适用于没有安全要求的简单模拟和游戏，但完全不适用于任何密码学应用。

梅森旋转

梅森旋转算法（MT19937）由松本和西村于1998年发表，并成为Python、Ruby、R、PHP以及许多其他语言的默认伪随机数生成器（PRNG）。它的周期为2^ ^19937-1 （非常大），几乎通过了所有统计测试，并且运行速度很快。它的内部状态由624个32位整数组成。其关键弱点在于：如果攻击者观察到624个连续的输出，他们就可以重构完整的内部状态并预测未来的所有输出。因此，尽管梅森旋转算法被广泛滥用，但它完全不适用于任何对安全性要求较高的应用程序。

现代伪随机数生成器：Xoshiro、PCG 和 SFC

目前最佳实践的非加密伪随机数生成器包括PCG 系列（置换同余生成器）、 xoshiro256**和SFC64 。这些生成器体积更小、速度更快，并且在统计性能上优于梅森旋转算法。特别是 PCG，在 TestU01 BigCrush 测试套件（伪随机数生成器最苛刻的标准统计测试套件）上表现出色。正是出于这个原因，NumPy 在 1.17 版本中将其默认生成器从梅森旋转算法切换到了 PCG64。

加密安全的伪随机数生成器的工作原理

一个 CSPRNG 必须满足除普通统计随机性之外的两个特性。首先，下一比特不可预测性：给定所有先前的输出，任何多项式时间算法都无法以大于 50% 的概率准确预测下一比特。其次，状态泄露抵抗性：即使攻击者获知了当前内部状态，也无法重构过去的输出（这被称为反向保密性或回溯抵抗性）。

现代操作系统将加密安全伪随机数生成器 (CSPRNG) 作为一项核心服务提供。Linux 公开了/dev/urandom和 ` getrandom()系统调用，两者都从由硬件事件初始化的内核熵池中获取随机数。Windows 提供BCryptGenRandom() 。macOS 和 iOS 使用arc4random_buf() ，自 macOS 10.12 起，该函数由 ChaCha20 算法支持。生产环境中使用的 CSPRNG 底层构造包括Hash_DRBG 、 HMAC_DRBG和CTR_DRBG （均已在 NIST SP 800-90A 中标准化），以及 BSD 和现代 Linux 使用的基于 ChaCha20 的生成器。

真随机数生成器的工作原理

真随机数生成器 (TRNG) 从真正不可预测的物理过程中提取随机性——这些过程要么是因为它们本质上是量子力学的，要么是因为它们涉及对无法测量的初始条件敏感的混沌经典系统。

常见物理熵源

• 热噪声（约翰逊-奈奎斯特噪声）：电阻器中电子的随机运动会产生电压波动，这些波动可以被采样和数字化。
• 散粒噪声：光子或电子离散、随机地到达探测器，产生可测量的随机信号。
• 放射性衰变：放射源衰变事件发生的时间具有真正的量子随机性。RANDOM.ORG 利用大气无线电噪声，其同样具有不可预测性。
• 量子光学源：光子到达时间、通过零差检测测量的真空涨落以及分束器路径选择都是经过验证的量子随机性的来源。
• 消费级设备上的硬件熵：现代 CPU 包含专用的硬件随机数生成器 (RNG) 指令。英特尔的 RDRAND 使用片上热噪声源，并通过 AES-CBC-MAC 进行处理。AMD 的同类产品工作原理类似。ARM 的 TrustZone 包含一个可供操作系统访问的硬件熵源。
• 操作系统熵池： Linux 从中断计时、磁盘 I/O 延迟、网络数据包到达时间和硬件 RNG 指令中收集熵，并通过加密构造将它们混合起来，从而生成内核的熵池。

条件反射问题

原始物理噪声很少均匀分布。由于电路不对称性，热噪声源可能产生略多于 1 的 0。因此，真随机数生成器 (TRNG) 包含一个预处理步骤——通常是加密哈希或提取函数——将原始样本压缩成更短、可证明均匀的输出。消耗的原始比特数与产生的输出比特数之比称为最小熵率，一个设计良好的 TRNG 会精确地表征该比率。NIST SP 800-90B 定义了联邦系统中使用的熵源的测试和验证要求。

比较伪随机数生成器 (PRNG)、压缩感知伪随机数生成器 (CSPRNG) 和真随机数生成器 (TRNG)

财产	伪随机数生成器	CSPRNG	真随机数生成器
确定性	是的	是的（播种后）	不
可由种子繁殖	是的	是的	不
通过统计检验	通常	是的	是的（经过适应后）
防止预测	不	是的	是的
速度	速度非常快	快速地	速度慢（受硬件限制）
需要硬件熵	仅用于播种	仅用于播种	总是
典型用例	模拟、游戏、抽样	密钥生成、令牌、密码学	高可靠性密钥、赌博监管、研究

随机性的统计学定义

随机性并非二元属性，而是一个连续谱，其适用的标准完全取决于具体应用。如果针对特定用途的任何测试都无法将某个序列与理论上的理想随机序列区分开来，则该序列被认为是该用途下的随机序列。美国国家标准与技术研究院 (NIST) 发布了一套统计测试套件 (SP 800-22)，涵盖十五项测试，包括频率分析、游程测试、频谱分析和线性复杂度测试。蒙特利尔大学开发的 TestU01 库中的 BigCrush 测试套件要求更高，包含 106 项不同的测试。无论运行速度有多快，如果生成器无法通过 BigCrush 测试，则不适用于严肃的模拟工作。

有必要明确区分随机性的含义。例如，1、2、3、4、5 这样的序列并非随机序列，即使每个数字出现的概率都相同——因为其模式是可预测的。反之，一个序列可能由于偶然因素呈现出局部规律（例如，一枚均匀硬币连续出现三次正面），但这并不意味着它不随机。随机性是生成过程的属性，而非孤立地看待任何特定输出序列的属性。

随机数生成器的工作原理：核心机制和实用技巧

随机数生成器主要分为两大类：伪随机数生成器 (PRNG) 和真随机数生成器 (TRNG)。PRNG 使用确定性算法，并预先设定一个初始值；TRNG 则从物理现象中获取熵。选择合适的类型、正确地设定初始值，并将其应用于具体的应用场景，决定了最终结果的统计可靠性、密码安全性以及可预测性。

选择和使用随机数生成器的分步策略

在生成任何数字之前，您需要确保生成器与任务相匹配。使用快速伪随机数生成器 (PRNG) 生成加密密钥是软件安全领域最严重的错误之一。同样，使用速度较慢的硬件随机数生成器 (RNG) 进行数十亿次迭代的蒙特卡罗模拟也会造成不必要的资源浪费。以下步骤将从基本原理出发，引导您完成决策过程。

步骤 1：定义随机性要求

在接触任何工具或图书馆之前，请先问自己三个问题：

• 可预测性重要吗？如果对手猜中你的数字会造成损害——无论是在密码学、赌博、彩票还是证券型代币领域——你都需要密码学级别的随机性。如果你只是运行物理模拟或随机播放歌单，那么高质量的伪随机数生成器（PRNG）就足够了。
• 你需要多少个数字？有些生成器的周期是有限的。例如，广泛用于 Python random模块和许多其他语言的梅森旋转算法，其周期为 2^ ¹⁹⁹³⁷ - 1，对于大多数用途来说，这个周期非常大，但它仍然是有限的且确定性的。
• 你需要可复现性吗？科学实验和程序化游戏生成通常需要生成完全相同的序列。带种子伪随机数生成器 (PRNG) 可以满足这个需求，而真随机数生成器 (TRNG) 则不能。

步骤二：选择合适的发电机类型

用例	推荐发电机	示例
加密密钥、密码、令牌	CSPRNG（密码学安全伪随机数生成器）	secrets模块（Python）、 crypto.randomBytes （Node.js）、 /dev/urandom （Linux）
模拟、统计学、机器学习	高质量伪随机数生成器	梅森扭曲者、PCG64、xoshiro256**
彩票，可审计的抽奖	真随机数生成器 (TRNG) 或经认证的硬件随机数生成器 (RNG)	RANDOM.ORG，硬件安全模块（HSM）
游戏，程序生成	种子伪随机数生成器	梅森旋转算法，具有良好常数的LCG算法
实时嵌入式系统	片上硬件随机数生成器	英特尔 RDRAND、ARM TrueRNG

步骤 3：正确初始化生成器

对于大多数伪随机数生成器（PRNG）部署而言，种子是单点故障。无论算法多么复杂，一个弱种子或可预测的种子都会破坏整个PRNG的安全模型。

• 使用高熵种子。操作系统熵池（Unix 上的/dev/urandom ，Windows 上的CryptGenRandom ）结合硬件事件——键盘输入时间、磁盘中断、网络数据包到达——生成几乎无法预测的种子。
• 切勿仅使用系统时钟作为种子。攻击者如果知道程序的大致启动时间，就能在几秒钟内暴力破解基于时间戳的种子。这种漏洞已被用于针对在线扑克网站和彩票系统的实际攻击中。
• 永远不要在生产代码中硬编码种子。固定的种子每次运行都会产生相同的序列。这虽然有利于测试，但对安全性来说是灾难性的。
• 对于长时间运行的应用程序，应定期重新注入熵。如果您的应用程序运行数天或数周，定期注入新的熵可以防止生成器循环进入可预测的状态。

步骤 4：将生成器应用于您的具体任务

生成原始随机数很少是最终目的。实际应用——例如采样、打乱随机数、范围映射——会引入其自身的失效模式。

生成一定范围内的数字

简单地使用取模运算符（ rand() % N ）会引入模偏差。如果生成器的输出范围不能被 N 整除，那么某些值出现的频率就会高于其他值。例如，如果你的生成器生成 0 到 32767 之间的值，而你想要的是 0 到 99 之间的数字，那么 0 到 67 的值出现的频率会略高于 68 到 99，因为 32768 不能被 100 整除。

• 使用拒绝采样。舍弃落在偏差尾部的值并重新绘制。大多数实现良好的标准库都会自动执行此操作。
• 使用内置的范围函数。Python的random.randint(a, b) 、Java 的ThreadLocalRandom.nextInt(origin, bound)以及类似的函数都会在内部处理偏差。
• 对于加密用途，请使用 Python 中的secrets模块或等效模块，该模块默认实现无偏范围选择。

公平地打乱列表

Fisher-Yates 洗牌算法（也称 Knuth 洗牌算法）是生成均匀随机排列的唯一正确算法。它的工作原理是从最后一个元素到第一个元素迭代，将每个元素与其当前位置或之前位置的随机元素交换。

1. 从最后一个索引i = n−1 开始。
2. 随机选取一个索引j，其中 0 ≤ j ≤ i。
3. 交换位置i和j处的元素。
4. 将i减 1，重复此过程直到i = 0。

另一种简单粗暴的方法——为每个元素独立地随机选择一个位置——并不能产生均匀分布。某些排列组合出现的频率会高于其他组合，这在纸牌游戏和彩票中是一个可测量且可被利用的缺陷。

不放回抽样

当你需要从包含 n 个元素的总体中抽取 k 个唯一值时，直接抽取并丢弃重复项效率低下。对于大型或流式数据集，可以使用储层采样；对于较小的数据集，可以使用基于总体副本的 Fisher-Yates 抽样。Python 的 ` random.sample(population, k)能够正确高效地实现这一点。

第五步：测试发电机的输出质量

即使正确实现的随机数生成器（RNG）如果其统计特性与特定应用的需求不符，也可能失效。标准测试套件可以检测出大多数缺陷。

• TestU01（BigCrush）：针对伪随机数生成器 (PRNG) 最严格的统计测试。它应用数百项测试，能够检测到更简单的测试所忽略的细微相关性。许多较旧的生成器，包括一些 LCG 变体，都无法通过 BigCrush 测试。
• Diehard / Dieharder：一套广泛使用的统计检验工具，最初由George Marsaglia开发。Dieharder是其更新扩展版本。
• NIST SP 800-22：加密随机数生成器的标准测试套件，是FIPS认证的必要条件。它测试频率、运行次数、频谱特性等。
• PractRand：尤其擅长检测周期短或扩散性差的发电机的故障。

避免常见错误

生产系统中大多数随机数生成器（RNG）故障都源于少数几个反复出现的错误。提前识别这些错误可以预防大多数实际存在的漏洞和统计误差。

错误 1：为了安全起见，使用 Math.random() 或等效函数。

JavaScript 的Math.random() 、Python 的random模块（不是secrets ）、PHP 的rand()以及类似的通用函数，都被明确指出不适合用于加密用途。它们优先考虑的是速度而非不可预测性。攻击者只需观察足够多的输出值，就能仅凭 624 个连续的 32 位输出值重构梅森旋转算法的内部状态，进而预测所有未来的值。这种攻击已在实时赌博平台上得到验证。

错误二：在不同会话中重复使用同一个种子

如果 Web 应用程序使用服务器进程 ID 或启动时间戳作为种子信息来初始化会话令牌生成器，那么同一秒内生成的每个会话令牌都将使用相同的种子信息。这并非理论上的假设——它正是生产框架中会话劫持漏洞的根源所在。

错误 3：生成的比特数不足以满足所需的熵

一个6位数的PIN码大约有20比特的熵。一个UUID v4有122比特。一个加密密钥至少需要128比特才能进行对称加密，而要长期抵御未来硬件的攻击，则需要256比特。生成短令牌并假设它们无法被猜测，这是一个结构性缺陷，而非实现细节问题。

错误 4：忽略平台特定行为

• 在某些较旧的 Linux 内核中，当熵池耗尽时，从/dev/random读取数据/dev/urandom阻塞。/dev/urandom 不会阻塞，并且在初始启动后对大多数加密用途都是安全的。
• 虚拟机在启动时熵值可能较低，因为它们缺乏物理机的硬件事件多样性。在虚拟机实例化后立即进行种子初始化可能会产生弱密钥。
• 有些嵌入式系统根本没有硬件随机数生成器。开发人员有时会退而求其次，使用软件熵源，而这些熵源的效用远比表面看起来要弱得多。

错误五：未经验证就将打乱顺序的输出视为均匀随机输出

如果底层随机数生成器的周期短于数据集所有可能的排列组合数，那么所有排列组合都无法生成。一副标准的 52 张牌有 52! ≈ ^2²²⁶种可能的顺序。一个使用 32 位种子的生成器最多只能生成^2³² ≈ 40 亿个不同的序列——这仅占所有可能洗牌组合的极小一部分。对于有实际赌注的纸牌游戏来说，这是一个切实存在的、可被利用的弱点。

错误六：将独立性与统一性混为一谈

一个序列可以均匀分布——每个值出现的频率相等——但相邻两次抽取之间仍然高度相关。许多低质量的线性共轭梯度（LCG）通过了频率检验，但却无法通过谱检验，因为它们的连续值落在多维空间中少数几个超平面上。这种被称为LCG的格点结构的人为因素，使得它们不适用于多维蒙特卡罗积分。

编程语言的实用策略

Python

• 对于任何安全敏感值，请使用secrets.token_bytes(n) 、 secrets.token_hex(n)或secrets.randbelow(n) 。
• 当您需要由操作系统熵支持的标准接口时，请使用random.SystemRandom()作为random.Random()的直接替代品。
• 对于数值计算，请使用numpy.random.default_rng() ，它默认使用 PCG64 生成器，这是一个现代的高质量 PRNG，可以通过 BigCrush 测试。

JavaScript / Node.js

• 为了所有安全目的，请使用crypto.randomBytes(n)或crypto.getRandomValues() （浏览器中的 Web Crypto API）。
• 永远不要使用Math.random()来生成令牌、ID 或任何对手可能试图预测的内容。

Java

• 出于加密目的，请使用java.security.SecureRandom 。只需实例化一次即可重复使用——构造函数开销很大。
• 在多线程环境下，对于高吞吐量的非安全应用程序，请使用ThreadLocalRandom 。
• 避免在并发环境中使用java.util.Random它使用共享种子，在争用时可能会产生冲突。

C/C++

• 避免使用 C 标准库中的rand() 。它是实现定义的，通常是一个弱线性共轭梯度法 (LCG)，而且不是线程安全的。
• 对于一般用途，请使用由std::random_device初始化的<random>中的std::mt19937 。
• 对于加密用途，直接调用操作系统原语：Linux 上的getrandom() ，Windows 上的BCryptGenRandom 。

随机数生成器工具、软件和自动化

最常用的随机数生成器工具种类繁多，从基于浏览器的服务（例如 RANDOM.ORG，它利用大气噪声生成熵）到内置于各大编程语言中的加密库，应有尽有。选择合适的工具取决于您的具体应用场景：统计模拟需要速度和统计质量，安全应用需要加密的不可预测性，而物理实验则需要真正的硬件随机性。

基于浏览器和在线的随机数生成器工具

在线随机数生成器工具无需安装，适用于随意抽奖、课堂演示和快速决策。最可靠的选择包括：

• RANDOM.ORG——利用大气无线电噪声作为真正的熵源。提供整数生成器、序列打乱器、高斯生成器以及基于配额的编程访问 API。
• Google 内置的 RNG——在 Google 中搜索“1 到 100 之间的随机数”会立即返回一个使用从系统熵中生成的伪随机数生成器 (PRNG) 的结果。
• 数字选择轮盘工具— 可视化旋转轮盘界面，底层使用 JavaScript Math.random()，适合课堂或游戏节目风格的选择。
• 民意调查和名字轮盘——将列表输入与随机选择相结合，用于团队分配、抽奖和小组决策。

大多数浏览器工具的一个重大局限性在于它们依赖于 JavaScript 的 ` Math.random() ，而该函数是一个伪随机数生成器 (PRNG)，不具备加密安全性。对于任何涉及安全、令牌或金融决策的操作，请务必使用专用的加密工具或库。

编程语言库和内置函数

几乎所有主流编程语言都至少自带一个随机数生成器（RNG）模块。下表总结了最常用的几种RNG选项及其安全等级：

语言	标准伪随机数生成器	加密随机数生成器	笔记
Python	随机（梅森旋转算法）	秘密，os.urandom()	使用密钥来存储令牌、密码和密钥
JavaScript	Math.random()	crypto.getRandomValues()	所有现代浏览器均支持 Web Crypto API。
Java	java.util.Random	java.security.SecureRandom	SecureRandom 会持续生成随机块，直到有足够的熵可用为止。
C/C++	rand()（生产环境中避免使用）	/dev/urandom，RDRAND 指令	rand() 函数的性能较弱；对于任何严肃的计算需求，请使用操作系统级别的熵。
去	数学/随机	加密货币/兰特	crypto/rand 直接从操作系统 CSPRNG 读取数据
红宝石	随机（基于机器翻译）	安全随机数	SecureRandom 封装了 OpenSSL 或 /dev/urandom
PHP	rand()，mt_rand()	random_bytes()，random_int()	自 PHP 7 起，random_int() 函数采用 CSPRNG 技术。

硬件随机数生成器设备

对于需要最高质量熵的应用（例如证书颁发机构密钥生成、硬件安全模块 (HSM) 或科学仪器），可以使用专用硬件随机数生成器 (HRNG)：

• Intel RDRAND / RDSEED — CPU 级指令，用于对片上电路的热噪声进行采样，自 Ivy Bridge (2012) 以来，大多数现代 x86 处理器都支持此功能。
• 专用 USB HRNG — OneRNG 或 TrueRNG 等设备插入 USB 端口，并通过 Linux 上的 /dev/random 或 /dev/urandom 将熵馈送到操作系统池中。
• HSM（硬件安全模块） ——来自 Thales、Entrust 和 AWS CloudHSM 等供应商的企业级设备，使用经过认证的硬件熵源生成和存储加密密钥。
• 量子 RNG 服务— ID Quantique 和 ANU（澳大利亚国立大学）的云 API 提供源自量子真空涨落的随机比特，提供可证明非确定性的输出。

自动化和工作流集成

在大型工作流程（例如 A/B 测试流程、蒙特卡罗模拟、定期抽奖或随机审计抽样）中自动生成随机数通常涉及以下三种方法之一：

1. API 集成— RANDOM.ORG 提供 JSON-RPC API，可返回真正的随机整数、序列、字符串和 UUID。经过身份验证的请求允许更高的配额，并可使用带有可验证证书的签名随机数。
2. CI/CD 流水线种子化— 统计测试工具（如 TestU01 或 Dieharder）可以在持续集成流水线中自动运行，以验证任何自定义 RNG 实现是否在代码更改中保持统计质量。
3. 平台原生调度— 云平台（AWS Lambda、Google Cloud Functions、Azure Functions）可以按计划触发基于 RNG 的进程，例如随机抽取日志条目进行安全审计，或在行为实验中分配每日随机分组。

AutoSEO 等工具展示了自动化如何扩展到依赖随机抽样的内容和数据工作流程。AutoSEO 利用随机抽样技术从大型抓取数据集中选择具有代表性的页面子集，从而自动完成 SEO 任务的识别、审核和优先级排序，确保质量检查的公正性，避免因始终审核相同的高流量页面而产生系统性盲点。这与随机对照试验的逻辑类似：通过在选择过程中引入结构化随机性，AutoSEO 能够生成比基于确定性规则的审核工具更具统计学意义的网站健康评估结果。

如何衡量随机数生成器的质量和成功率

一个好的随机数生成器应该能够通过均匀性、独立性和不可预测性的统计检验。主要基准包括经验测试套件、理论周期分析，以及——对于加密随机数生成器而言——抵抗状态重构攻击的能力。

统计测试套件

任何有限序列都无法被证明是完全随机的，但可以通过测试来检测序列中是否存在可察觉的非随机性。最权威的测试套件包括：

• NIST SP 800-22——由美国国家标准与技术研究院发布的一套包含15项统计测试的标准，用于评估提交密码学认证的随机数生成器（RNG）。测试包括频率测试、游程测试、频谱（DFT）测试和串行测试。
• TestU01 (BigCrush) — BigCrush 由蒙特利尔大学开发，是目前公开可用的最严格的统计测试套件。像 LCG 和较早的 Wichmann-Hill 生成器这样的算法都无法通过；Xoshiro256** 和 PCG 则能通过。
• Dieharder — George Marsaglia 的原始 Diehard 电池的开源扩展，对大量发电机输出样本进行了 100 多次测试。
• PractRand — 一个现代化的测试套件，可扩展到非常大的样本量（TB级输出），能够检测到小样本测试无法发现的细微偏差。

关键质量指标

• 周期长度——序列重复之前生成的数值个数。梅森旋转算法的周期为 2 ^{^19937} - 1，这足以满足几乎所有非密码学应用的需求。
• 等分布——值是否在一维、二维和更高维度的投影中均匀分布在输出范围内。
• 种子敏感性——种子的微小变化是否会产生完全不同的输出序列（对模拟的可重复性很重要）。
• 吞吐量——以 MB/s 或每秒数十亿个数字为单位的输出速度，与高性能蒙特卡罗工作负载相关。
• 前向保密性和后向保密性——对于密码学安全伪随机数生成器（CSPRNG），指的是攻击者能否在时间 T 观察到输出后，重构过去或未来的输出。这可以通过尝试从观察到的比特位重构状态来进行测试。

衡量应用情境中的成功

除了技术质量之外，成功指标还取决于部署环境：

• 彩票和抽奖——审计跟踪、第三方验证和签名的随机性证书（可从 RANDOM.ORG 获取）向参与者证明了公平性。
• 加密应用——符合 FIPS 140-3 或通用准则认证，确认熵源和 CSPRNG 符合政府和行业标准。
• 科学模拟——可重复性（相同的种子产生相同的结果）以及在模拟中使用的样本大小下通过 BigCrush 或 PractRand 的能力。
• A/B 测试——平衡性检查证实，处理组和对照组在实验前协变量上具有统计学上的等效性，从而验证了随机化是无偏的。

常问问题

真随机数生成器和伪随机数生成器有什么区别？

真随机数生成器 (TRNG) 从物理上不可预测的过程（例如热噪声、放射性衰变或大气无线电噪声）中产生随机性，并生成真正不确定的输出。伪随机数生成器 (PRNG) 使用确定性的数学算法，并以初始值作为种子；给定相同的种子，它总是生成相同的序列。PRNG 速度更快且可重复，因此非常适合用于模拟和游戏。TRNG 速度较慢，但在需要不可预测性以确保安全性的情况下（例如生成加密密钥），TRNG 是必不可少的。

在 JavaScript 中使用 Math.random() 是否安全？

不。JavaScript 的 ` Math.random()是一个伪随机数生成器 (PRNG)，其文档明确指出它不具备加密安全性。它的内部状态有可能通过观察到的输出进行重构，因此绝对不应该用于生成密码、会话令牌、API 密钥或任何攻击者猜测输出结果会造成危害的值。对于浏览器中对安全性要求较高的应用程序，请使用 Web Crypto API 中的crypto.getRandomValues() ，该 API 由操作系统自带的加密伪随机数生成器 (CSPRNG) 提供支持。

随机数生成器真的能做到完全不可预测吗？

基于量子现象（例如光子到达时间或量子真空涨落）的硬件真随机数生成器（TRNG）根据量子力学被认为是根本上不可预测的，这意味着没有任何算法或额外信息能够让观察者比随机猜测更准确地预测其输出。伪随机数生成器（PRNG）和大多数软件密码学伪随机数生成器（CSPRNG）在标准密码学假设下是计算上不可预测的，这意味着它们在实践中是安全的，但在绝对物理意义上并非可证明的不可预测。

种子参数如何影响随机数生成器？

种子是输入到伪随机数生成器 (PRNG) 算法中的初始值。相同的种子总是产生相同的序列，这在科学计算中是一个特性，因为它使实验可重复。一个糟糕的种子——例如仅使用当前秒数作为熵源——会大幅降低有效随机性，因为攻击者可以枚举所有可能的种子。良好的种子设置实践会结合多个熵源：当前时间（以纳秒为单位）、进程 ID、内存地址以及操作系统提供的熵（例如 Windows 系统上的 /dev/urandom 或 CryptGenRandom）。

Python 的 random 模块使用什么随机数生成器？

Python 的random模块使用梅森旋转算法 (MT19937)，其周期为 2^ ¹⁹⁹³⁷ - 1，并通过了大多数统计测试。它适用于模拟、游戏和统计抽样。然而，它的密码安全性不高——观察 624 个连续的 32 位输出后，其内部状态可以被重构。对于 Python 中对安全性要求较高的工作，请使用secrets模块，该模块基于os.urandom()函数，并从操作系统级的 CSPRNG 中抽取随机数。

如何在不使用计算机的情况下生成随机数？

在计算机出现之前，随机数是通过物理方法生成的：掷骰子、从旋转的滚筒中抽取带编号的球、抛硬币或洗牌。兰德公司于1955年出版了一本名为《一百万个随机数字，包含十万个正态偏差》的著名书籍，书中的随机数是由电子轮盘生成的。随机数统计表曾广泛应用于调查抽样和临床试验。如今，一些受监管的彩票和课堂演示中仍然使用人工方法，尽管这些方法比电子方法速度更慢，也更难审核。

为什么需要对随机数生成器进行测试？

即使是旨在生成看似随机输出的算法，也可能包含一些不易察觉的细微偏差、某些维度上的短周期波动，或者连续值之间的相关性，这些偏差和相关性难以通过常规检查发现，但可以通过统计测试检测到。这些缺陷会使模拟结果无效，降低加密系统的安全性，或者给游戏和彩票带来不公平性。使用 NIST SP 800-22、BigCrush 或 PractRand 等测试套件可以在部署前发现这些问题。历史上存在缺陷的生成器案例——包括早期版本的 PHP 函数mt_rand()和 2008 年的 Debian OpenSSL 漏洞——表明未经测试的随机数生成器可能会导致真正的安全漏洞。

什么是密码学安全的伪随机数生成器（CSPRNG）？

CSPRNG 是一种在统计质量之外还满足两个额外安全要求的伪随机数生成器：下一比特测试（在给定所有先前比特的情况下，没有任何算法能够以显著优于 50% 的概率预测下一比特）和状态泄露扩展抵抗性（即使攻击者在时间 T 获知了内部状态，也无法重构 T 之前的输出）。现代 CSPRNG 包括基于 ChaCha20 的生成器（自 Linux 内核 4.8 起在 /dev/urandom 中使用）、Fortuna（在 macOS 和 iOS 中使用）以及 CTR_DRBG（由 NIST 在 SP 800-90A 中标准化）。

随机数生成器会产生重复值吗？

是的，这是预期行为。真正的随机过程不会记住过去的输出，因此重复值自然会出现——概率论中的生日问题就描述了这种情况。在从 1 到 N 的均匀抽取中，大约抽取 √N 个值后，重复值出现的概率就会增加。如果您的应用需要唯一值（例如分配唯一 ID 或洗牌时避免重复），您应该使用像 Fisher-Yates 这样的洗牌算法对预定义的集合进行洗牌，或者维护一个已使用值的集合并剔除重复值，而不是依赖原始随机数生成器的输出来避免冲突。

在线彩票和抽奖工具如何确保公平性？

信誉良好的在线抽奖工具通过以下方式确保公平性：使用高质量的熵源（理想情况下是真随机数生成器，而非 Math.random()），在抽奖前公布算法和种子以便结果可独立验证，提供签名随机性证书以证明号码是在抽奖结束前生成的，以及在独立审计员的监督下进行抽奖。RANDOM.ORG 提供第三方抽奖服务，该服务会对每次抽奖进行时间戳标记和加密签名，从而创建可审计的记录。对于受监管的彩票，国家博彩监管机构要求任何系统上线前都必须使用经过认证的硬件随机数生成器，并获得独立测试实验室的批准。