Generadores

Un generador parece el único tipo de herramienta donde no podría importar dónde ocurre el trabajo. Importa dos veces.

La primera razón es que un generador del lado del servidor ha visto cada identificador que te dio. Si esos se vuelven claves primarias, claves de API, tokens de invitación o cualquier otra cosa con autoridad adjunta, un tercero ahora tiene una lista de ellos. Es improbable que se explote y sigue siendo una exposición completamente evitable, porque el navegador tiene incorporada una fuente aleatoria criptográfica perfectamente buena.

La segunda es la calidad. Un número deprimente de generadores en línea llaman a Math.random() , que es un PRNG rápido no criptográfico. Su salida es lo bastante uniforme para parecer aleatoria y es predecible a partir de una serie corta de valores previos. Para un fixture de prueba es inofensivo. Para cualquier cosa que controle el acceso es una vulnerabilidad, y nada en la salida distingue los dos casos. Estas herramientas usan crypto.getRandomValues() exclusivamente.

La elección entre versiones de UUID es la decisión que más vale la pena acertar, y normalmente se toma por accidente. v4 — aleatoriedad pura — es el valor por defecto en casi todas partes, y es una clave primaria pobre a escala por una razón estructural: los valores aleatorios se dispersan por un índice B-tree, así que cada inserción toca una página distinta, la tasa de aciertos de la caché se derrumba y el índice se fragmenta. Los equipos suelen descubrir esto como una degradación lenta e inexplicable del rendimiento de escritura en algún punto después de los primeros millones de filas.

v7 lo arregla poniendo una marca de tiempo en milisegundos en los 48 bits iniciales, así que los identificadores generados en momentos cercanos se ordenan cerca unos de otros, y las inserciones se añaden al extremo caliente del índice. Es el valor por defecto correcto para claves de base de datos bajo RFC 9562. El contrapeso es real y vale la pena enunciarlo: un identificador v7 publica su propia hora de creación a cualquiera que pueda leerlo, así que para un identificador público donde eso sea sensible, v4 sigue siendo correcto.

v1 está incluido por completitud y para leer datos antiguos. Codifica una marca de tiempo y, en su forma original, la dirección MAC de la máquina que lo genera — por eso cayó en desuso, y por eso poder inspeccionar uno es más útil que poder crear uno. Si necesitas convertir un valor generado a otra representación, la herramienta Base64 está al lado, y Formatear JSON ordenará un archivo semilla donde hayas pegado identificadores.