JavaScript闭包生成随机数技巧

在文章实战开发的过程中，我们经常会遇到一些这样那样的问题，然后要卡好半天，等问题解决了才发现原来一些细节知识点还是没有掌握好。今天golang学习网就整理分享《JavaScript闭包生成加密随机数方法》，聊聊，希望可以帮助到正在努力赚钱的你。

闭包本身不生成加密随机数，而是封装window.crypto.getRandomValues()这一浏览器底层API，提供安全随机数的访问接口；2. 通过闭包可私有化缓冲区（如Uint32Array），避免重复创建，提升代码整洁性与性能；3. 闭包封装了调用细节，使开发者能以简洁函数调用获取加密随机数，无需每次手动处理TypedArray和错误；4. 相比Math.random()的伪随机性和可预测性，crypto.getRandomValues()依赖系统熵源，具备真正不可预测性，是加密安全的基石；5. 闭包在此模式中实现了封装性、状态隔离、接口统一和逻辑内聚，是构建安全、可复用随机数生成器的理想方式。

要谈JavaScript闭包如何生成“加密随机数”，我们得先掰扯清楚一个核心概念：闭包本身，它并不能凭空变出加密级别的随机性。说白了，闭包在这里更像一个精巧的“容器”或“代理”，它把真正提供加密强度的浏览器内置API——window.crypto.getRandomValues()——封装起来，对外提供一个更干净、更易用的接口。所以，加密的源头是浏览器底层，闭包只是让这个过程更优雅、更可控。

解决方案

闭包在这个场景下的妙用，在于它能把生成加密随机数的复杂细节隐藏起来，提供一个简洁明了的函数供你调用。这避免了每次需要随机数时都得手动创建TypedArray、调用crypto API、再提取值的繁琐过程。它就像一个定制的小工厂，你告诉它“我要一个加密随机数”，它就直接给你，至于内部如何操作，你不用关心。

// 核心思想：通过闭包，我们封装了对 window.crypto.getRandomValues 的调用
// 并且可以预先分配好所需的缓冲区（TypedArray），避免每次调用都重新创建，
// 尽管对于大多数现代浏览器来说，这点性能提升可能微乎其微，但它体现了封装的优雅。

const createSecureRandomNumberGenerator = () => {
    // 内部私有变量，用于存储加密随机数。Uint32Array 确保我们得到的是32位无符号整数。
    // 这个缓冲区在闭包创建时就初始化了，每次调用内部函数时都会被重复使用和填充。
    const randomBuffer = new Uint32Array(1);

    // 返回一个函数，这个函数就是我们的“加密随机数生成器”
    // 每次调用这个返回的函数，都会触发加密随机数的生成和获取
    return () => {
        try {
            // 这是关键：让浏览器填充我们的缓冲区，提供加密强度的随机字节
            window.crypto.getRandomValues(randomBuffer);
            // 返回缓冲区中的第一个（也是唯一一个）32位加密安全随机整数
            return randomBuffer[0];
        } catch (error) {
            // 考虑一下如果环境不支持 crypto API 的情况，虽然现在很少见
            console.error("无法生成加密随机数，window.crypto.getRandomValues 不可用或发生错误:", error);
            // 实际应用中，这里可能需要更健壮的错误处理或回退机制
            throw new Error("Secure random number generation failed.");
        }
    };
};

// 使用这个生成器：
const getCryptoRandomInt = createSecureRandomNumberGenerator();

// 每次调用 getCryptoRandomInt() 都会得到一个新的加密安全随机整数
// console.log("加密随机整数 1:", getCryptoRandomInt());
// console.log("加密随机整数 2:", getCryptoRandomInt());

// 扩展：如果你需要一个特定范围内的加密随机数（比如0到1之间的浮点数，或指定范围的整数）
// 闭包同样可以封装这些额外的计算逻辑。
const createSecureRandomFloatGenerator = () => {
    const getRawInt = createSecureRandomNumberGenerator(); // 内部使用上面定义的整数生成器
    const maxUint32 = 2**32; // Uint32Array 能表示的最大值 + 1

    return () => {
        let randomNumber;
        do {
            // 生成一个原始的加密随机整数
            randomNumber = getRawInt();
            // 将其映射到 [0, 1) 的浮点数范围
            // 这里用除法，需要注意浮点数精度和是否可能生成0或1的边界情况
        } while (randomNumber === maxUint32 - 1); // 避免出现1.0，确保是 [0, 1)
        return randomNumber / maxUint32;
    };
};

// const getCryptoRandomFloat = createSecureRandomFloatGenerator();
// console.log("加密随机浮点数 1:", getCryptoRandomFloat());
// console.log("加密随机浮点数 2:", getCryptoRandomFloat());

为什么常规的 Math.random() 不够“加密安全”？

这是一个老生常谈，但又极其重要的问题。很多人一提到随机数，下意识就想到Math.random()。但它在安全敏感的场景下，简直就是个“坑”。Math.random()生成的是伪随机数（Pseudo-Random Number Generator, PRNG），它基于一个确定的算法和一个初始的“种子”（seed）。一旦知道了这个种子或者观察到足够多的输出序列，理论上就能预测出它接下来的输出。这在加密、生成安全令牌、或者任何需要不可预测性的地方，都是致命的缺陷。它就像一个魔术师，虽然看起来每次都变出不同的牌，但如果你知道他手法，就能猜到下一张是什么。而“加密安全”的随机数，追求的是真正的不可预测性，即使攻击者掌握了生成算法，也无法预测或重现其输出。

window.crypto.getRandomValues() 才是真正的加密基石

当我们谈论JavaScript中的“加密随机数”时，真正的幕后英雄是window.crypto.getRandomValues()。这个API不是JavaScript引擎自己“发明”随机数，而是它向宿主环境（比如浏览器或Node.js的底层操作系统）请求熵（entropy）。操作系统会从各种不可预测的物理事件中收集熵，比如鼠标移动、键盘输入、硬盘读写时间、网络延迟、甚至CPU温度等等，然后用这些熵来生成高质量的随机字节。

getRandomValues()接收一个TypedArray（如Uint8Array, Uint16Array, Uint32Array等）作为参数，然后用加密安全的随机字节填充这个数组。它是一个同步API，意味着它会阻塞执行直到数组被填充完毕。它的强大之处在于，它利用了系统级的加密安全伪随机数生成器（CSPRNG），这些生成器是专门为安全目的设计的，它们的目标就是让输出在统计学上无法区分于真正的随机，并且在计算上无法预测。

闭包在这个“加密随机数”封装中扮演了什么角色？

前面提到，闭包在这里更像一个“容器”或“代理”，但具体来说，它扮演了几个关键角色：

首先，封装性。这是闭包最直观的优势。它将randomBuffer这个TypedArray私有化，外部无法直接访问或修改它。这样，我们就确保了每次调用getCryptoRandomInt时，都是通过window.crypto.getRandomValues来更新这个内部缓冲区，避免了外部误操作或污染。

其次，状态管理（尽管在这个简单的例子里状态很小）。如果我们需要一个更复杂的随机数生成器，比如一个需要内部计数器或者更复杂的种子管理逻辑（虽然getRandomValues已经帮我们处理了熵源，但某些高级场景可能需要），闭包就能很好地管理这些内部状态，并保持它们与外部世界的隔离。

再者，提供清晰且可重用的接口。通过返回一个函数，我们创建了一个“生成器”实例。这个实例可以被多次调用，每次都产生一个新的加密随机数，而不需要重复写那些底层crypto API的调用代码。这提高了代码的可读性和复用性，让你的代码看起来更“业务化”，而不是满是底层API调用。

最后，它避免了全局污染。如果你只是简单地把crypto.getRandomValues的调用散落在各处，可能会导致代码分散且难以维护。闭包提供了一个独立的、自包含的模块，使得整个随机数生成逻辑更加内聚。

文中关于的知识介绍，希望对你的学习有所帮助！若是受益匪浅，那就动动鼠标收藏这篇《JavaScript闭包生成随机数技巧》文章吧，也可关注golang学习网公众号了解相关技术文章。