rand
e mt_rand
, segundo a documentação (aqui e aqui), não são consideradas criptograficamente seguras (para este propósito, recomenda-se o uso de random_int
, sobre o qual falaremos mais abaixo).
Tanto rand
quanto mt_rand
funcionam de maneira similar: se forem chamadas sem parâmetros, retornam um número entre zero e um limite máximo (para rand
, o limite é o número retornado por getrandmax
, e para mt_rand
, o limite é o número retornado por mt_getrandmax
).
Se forem chamadas com um parâmetro apenas, ambas dão um warning ("expects exactly 2 parameters, 1 given" <- testei no PHP 7.3.6) e retornam NULL
.
Se forem chamadas com 2 parâmetros (chamados de $min
e $max
), retornam um número entre $min
e $max
, lembrando que ambos são inclusos (em muitas linguagens o valor final não é incluso, então esse é um fator que costuma gerar muitos off-by-one errors).
Um detalhe "interessante" é que se $min
for maior que $max
, rand
funciona, mas mt_rand
não. Ou seja, rand(5, 3)
retorna um número entre 3 e 5, mas mt_rand(5, 3)
dá um warning ("max(3) is smaller than min(5)") e retorna FALSE
.
Isso aconteceu no PHP 7.3.6 (versão que usei para testar), mesmo com a documentação dizendo que a partir do PHP 7.1 rand
se tornou um alias de mt_rand
. Esse comportamento é mencionado na documentação de rand
:
Note: As of PHP 7.1.0, rand()
uses the same random number generator as mt_rand()
. To preserve backwards compatibility rand()
allows max to be smaller than min as opposed to returning false as mt_rand()
.
Aliás, no trecho acima temos outro detalhe: a partir do PHP 7.1 ambos usam o mesmo algoritmo, que no caso é o Mersenne Twister (antes disso, rand
usava o Linear Congruential Generator).
Já random_int
possui mais diferenças. A documentação cita que é uma função criptograficamente segura (e o trade-off é ela ser mais lenta), e além disso sempre deve ser chamada com 2 argumentos, indicando os valores mínimo e máximo. Outra diferença para rand
e mt_rand
é que se o máximo for menor que o mínimo, é lançado um Error
.
Esta função lança um Exception
se não for encontrada uma fonte de randomness apropriada. Segundo a documentação, essa fonte varia conforme o ambiente:
- no Windows, para PHP >= 7.2.0 usa-se a CNG-API, para outras versões usa-se
CryptGenRandom
- no Linux, usa-se a syscall
getrandom(2)
, se estiver disponível
- em outras plataformas, usa-se
/dev/urandom
- se nenhuma destas for encontrada, lança um
Exception
Sobre "ser criptograficamente seguro", veja mais detalhes aqui e aqui. Mas basicamente, se você não está lidando com criptografia (por exemplo, se só quer mudar a cor de fundo do seu site aleatoriamente), não precisaria usar random_int
.
rand
é um alias paramt_rand
. Veja.