UUID / ULID / Token 标识符指南

实战片段

要点：① UUID 必须用 crypto.randomUUID 或 getRandomValues 生成，Math.random 会让 128 位熵名存实亡，批量下还会碰撞；② 版本选择口诀——需排序选 v7 或 ULID，否则 v4，对外 ID 永远别用 v1（泄露 MAC 与生成时间）；③ 时间有序方案依赖时钟，跨机房 NTP 漂移会破坏「ID 序 = 时间序」，需监控 offset；④ 对外 ID 要不透明，否则竞品爬接口即可推出业务量，且可能触及个人信息合规红线；⑤ 自制时序 UUID 容易写错版本位与变体位，生产请用成熟库。

// ① 生成：必须用密码学安全源
const id = crypto.randomUUID()                       // ✅ 浏览器/Node 18+
// ❌ Math.random 拼出来的 UUID：可预测、批量下会碰撞
const bad = 'xxxxxxxx-xxxx-4xxx-yxxx-xxxxxxxxxxxx'.replace(/[xy]/g,
  c => (Math.random() * 16 | (c === 'y' ? 4 : 0)).toString(16))

// ② 自己拼 v4（需要控制格式时）
function uuidV4() {
  const b = crypto.getRandomValues(new Uint8Array(16))
  b[6] = (b[6] & 0x0f) | 0x40      // version 4
  b[8] = (b[8] & 0x3f) | 0x80      // variant 10
  const h = [...b].map(x => x.toString(16).padStart(2, '0')).join('')
  return [h.slice(0, 8), h.slice(8, 12), h.slice(12, 16), h.slice(16, 20), h.slice(20)].join('-')
}

// ③ 时间有序：v7 / ULID（需按时间排序时选这类）
const v7 = crypto.randomUUID().replace(/^(.{8})-(.{4})-(.{4})/, (m, a, b, c) => {
  const ts = BigInt(Date.now()).toString(16).padStart(12, '0')
  return ts.slice(0, 8) + '-' + ts.slice(8, 12) + '-' + '7' + c.charAt(0) + '-' + m.slice(19)
})
// 说明：生产环境请直接用 uuid@13+ 或 ulid 库，别手搓时序

// ④ 熵 ≠ 强度：检查生成源
console.log(typeof crypto.randomUUID())              // 'function' ⇒ 安全源
console.log(typeof Math.random)                       // 'function' ⇒ 伪随机，不要用于 ID

// ⑤ 对外不透明、内部有序：用映射表把外部 ID 换成主键
// const publicId = nanoid()      // 外部可见
// const row = await db.byPublicId(publicId)          // 内部仍用自增主键