🎫 设置生成参数
用于接口鉴权、Webhook 密钥、数据库 salt、会话令牌等。UUID 与 JWT 风格长度固定。
≥ 16 字节（128 bits）已远超暴力破解能力；API 密钥建议 32 字节起。
🔑 生成的 Token
🎫
选择格式与长度，点「生成 Token」，得到一批密码学安全的随机密钥，可直接复制或下载。
⚠️ 安全须知：本工具使用浏览器 crypto.getRandomValues（密码学安全伪随机数生成器，CSPRNG）生成随机值，不是 Math.random() 那种可被预测的弱随机；生成过程完全在本地，Token 不会上传到任何服务器。
但请注意：① 前端生成的密钥仍可能被本机恶意脚本窃取，请在可信环境使用；② 切勿把密钥写死在前端代码或提交到代码仓库，应通过环境变量 / 密钥管理服务下发；③ 泄露即作废，怀疑泄露立即轮换；④ 服务端校验请使用安全的等值比较（恒定时间比较），避免时序侧信道；⑤ 本工具仅生成随机字符串，不对接任何真实账户系统。
安全隐私
完全免费
🔐 CSPRNG 安全随机
📦 批量生成
🔒 本地生成不上传
做开发最常被随手糊弄的，就是「先随便写个密钥凑合用」——结果用 Math.random() 生成的 token 能被预测、被遍历，接口瞬间裸奔。
这个生成器只做一件事：用浏览器自带的 crypto.getRandomValues（密码学安全随机源，CSPRNG）生成真随机 Token，避免可预测弱点。支持六种常见格式：十六进制、Base64url（URL 安全，适合放在请求头 / 路径里）、字母数字（不含易混淆字符）、UUID v4、带环境的前缀密钥（如 sk_live_xxxx，一眼区分生产 / 测试），以及 JWT 风格三段随机串。长度从 16 到 64 字节可调，128 bits 以上就远超任何暴力破解能力。
可以一次批量生成最多 50 个，复制或下载即用。所有生成都在本地完成，密钥不上传。附带一份「密钥安全须知」：别写进前端代码、别进仓库、泄露就轮换、服务端用恒定时间比较。
核心特性
CSPRNG 安全随机
HEX / Base64url
字母数字
UUID v4
带前缀密钥
JWT 风格
批量最多 50
强度 bits 显示
复制 / 下载
本地生成不上传
关于这个工具
Token 安全的核心，是「不可预测」。
普通 Math.random() 是有状态的伪随机，种子可被推断、序列可重现，拿来做密钥等于把锁做成纸糊的。本工具改用 crypto.getRandomValues——操作系统提供的密码学安全随机源（CSPRNG），每个比特都不可预测，这才是密钥该用的随机性。
长度即强度。随机字节数 × 8 = 安全强度（bits）。16 字节 = 128 bits，已经是 AES-128 同级、远超暴力破解；API 密钥 / 长期凭证建议 32 字节（256 bits）起。工具会如实显示每个 Token 的强度。
格式看场景。放 URL / 请求头选 Base64url（去除了 + / = 等会出问题的字符）；数据库 salt、内部标识用 HEX；要一眼区分环境用带前缀密钥（sk_live_ / pk_test_）；需要标准唯一 ID 用 UUID v4。
最后提醒：再安全的随机 Token，写死在前端或提交进 Git 也等于公开。请走环境变量 / 密钥管理服务，泄露立即轮换。
怎么用
第 1 步
选 Token 格式：接口密钥常用 Base64url / 带前缀，内部 ID 用 UUID / HEX。
第 2 步
选 随机长度：普通令牌 16-32 字节，长期密钥建议 32 字节以上。
第 3 步
选填前缀（仅密钥格式）、设生成数量（最多 50）、按需开启每 4 位分隔。
第 4 步
点「🎫 生成 Token」，复制全部或下载 TXT；检查下方随机源与安全强度标注。
第 5 步
拿到密钥后勿写进前端代码 / 仓库，通过环境变量下发，怀疑泄露立即轮换。
更新记录
-
v1.0
2026-09-16
工具正式上线：基于浏览器 crypto.getRandomValues（CSPRNG）生成密码学安全随机 Token，支持十六进制、Base64url、字母数字、UUID v4、带前缀密钥、JWT 风格六种格式；随机长度 16-64 字节可调并标注安全强度（bits）；可批量生成最多 50 个、每 4 位加分隔符，支持复制 / 下载 TXT；界面标注当前随机源并附「密钥安全须知」（勿入前端 / 仓库、泄露即轮换、恒定时间比较）；纯前端本地生成，适配黑夜模式。
常见问题
为什么不用 Math.random() 生成密钥？
Math.random() 是普通伪随机，内部状态可被推断、序列可重现，攻击者能缩小猜测范围甚至直接预测后续值，用来做密钥极其危险。密钥必须用密码学安全随机源（CSPRNG）。本工具使用浏览器 crypto.getRandomValues，由操作系统提供，每个比特都不可预测。
多长的 Token 才够安全？
强度 = 随机字节数 × 8（bits）。
· 16 字节 = 128 bits：已超任何已知暴力破解能力，适合短期会话令牌；
· 32 字节 = 256 bits：推荐用于 API Key、长期凭证、数据库 salt；
· 64 字节：极高安全场景。工具会显示每个 Token 的 bits。
Base64url 和 Base64 有什么区别？
Base64url 把标准 Base64 里的 + 换成 -、/ 换成 _，并去掉末尾的 = 填充。这样生成的字符串可以安全放在 URL、请求头、路径里，不会被 URL 编码 / 路由解析误伤，是接口令牌的常用选择。
生成的 Token 会被上传吗？
不会。生成完全在你的浏览器本地用 JavaScript 完成，Token 不上传服务器、不保存，刷新即清空。但请仍在可信环境使用——本机若已被恶意脚本入侵，任何前端生成的内容都可能被读取。拿到密钥后请勿写进前端代码或提交到代码仓库。
带前缀的密钥前缀会影响安全吗？
不会。前缀（如 sk_live_、pk_test_）只是标识，用于一眼区分生产 / 测试环境与用途，不参与随机强度、可被公开。真正的安全来自后面的随机部分。注意：live 前缀的密钥是真凭证，test 前缀通常是测试用，别把 live 密钥当 test 用。
💬 留言板 0
全部留言需审核通过后展示
🎉
留言已提交！
审核通过后就会展示在留言板上，稍安勿躁～
还没有留言，来抢沙发吧！