uuid vs nanoid vs shortid vs randomstring
Generierung eindeutiger Identifikatoren im Frontend
uuidnanoidshortidrandomstringÄhnliche Pakete:

Generierung eindeutiger Identifikatoren im Frontend

nanoid, randomstring, shortid und uuid sind npm-Pakete zur Generierung von zufälligen oder eindeutigen Identifikatoren in JavaScript-Anwendungen. Sie unterscheiden sich hinsichtlich Sicherheit, Länge, Format, Standardisierung und Wartungsstatus. Während uuid einen etablierten Standard (Universally Unique Identifier) implementiert und nanoid kompakte, sichere Alternativen anbietet, dient randomstring primär der Erzeugung beliebiger Zufallsstrings ohne Garantie für Eindeutigkeit. shortid gilt hingegen als veraltet und sollte in neuen Projekten nicht mehr eingesetzt werden.

npm-Download-Trend

3 Jahre

GitHub Stars Ranking

Statistik-Detail

Paket
Downloads
Stars
Größe
Issues
Veröffentlichung
Lizenz
uuid399,942,44115,34565.7 kB8vor 22 TagenMIT
nanoid360,043,58727,11814.7 kB2vor einem MonatMIT
shortid1,271,9995,70921.7 kB16vor 2 JahrenMIT
randomstring1,088,62452217 kB2vor einem MonatMIT

Generierung eindeutiger IDs im Frontend: nanoid, randomstring, shortid und uuid im Vergleich

Beim Entwickeln moderner Webanwendungen braucht man oft IDs — etwa für neue Datensätze, temporäre Elemente oder Tracking-Zwecke. Die vier Pakete nanoid, randomstring, shortid und uuid bieten jeweils unterschiedliche Ansätze zur ID-Generierung. Doch nicht alle sind gleich gut geeignet für den produktiven Einsatz. Dieser Artikel vergleicht sie aus Sicht erfahrener Frontend-Entwickler.

⚠️ Wichtig: Deprecation von shortid

Bevor wir beginnen: shortid ist offiziell veraltet. Auf der npm-Seite steht klar: "ShortId is deprecated. Please use Nano ID instead." Das Paket wird nicht mehr gewartet und hat bekannte Kollisionsprobleme bei hoher Last. Verwenden Sie shortid nicht in neuen Projekten.

🔢 ID-Länge und Format: Was kommt raus?

Die wichtigste Unterscheidung liegt im Ausgabeformat und der Standardlänge.

nanoid generiert standardmäßig 21 Zeichen lange, URL-sichere Strings aus einem Alphabet aus alphanumerischen Zeichen (ohne Sonderzeichen).

import { nanoid } from 'nanoid';
const id = nanoid(); // z. B. "V1StGXR8_Z5jdHi6B-myT"

randomstring ist flexibler: Es erlaubt beliebige Längen und Alphabete, liefert aber keine garantierte Eindeutigkeit – es ist ein reiner Zufallsstring-Generator.

import randomstring from 'randomstring';
const id = randomstring.generate(10); // z. B. "x9f2kLm4pQ"

shortid (veraltet!) erzeugte kurze IDs mit 7–14 Zeichen, oft mit Sonderzeichen wie _ oder -.

// NICHT VERWENDEN
import shortid from 'shortid';
const id = shortid.generate(); // z. B. "23a4k_89"

uuid generiert standardmäßig UUIDs Version 4 mit 36 Zeichen, inklusive Bindestrichen im Format xxxxxxxx-xxxx-4xxx-yxxx-xxxxxxxxxxxx.

import { v4 as uuidv4 } from 'uuid';
const id = uuidv4(); // z. B. "9b1deb4d-3b7d-4bad-9bdd-2b0d7b3dcb6d"

🧪 Kryptografische Sicherheit und Kollisionen

Nur nanoid und uuid verwenden kryptografisch sichere Zufallsquellen (crypto.getRandomValues() im Browser), was Kollisionen extrem unwahrscheinlich macht.

  • nanoid: Nutzt CSPRNG, sehr geringe Kollisionsrate dank großer Entropie pro Zeichen.
  • uuid (v4): Ebenfalls CSPRNG-basiert, mathematisch fundierte Kollisionsresistenz.
  • randomstring: Standardmäßig nicht kryptografisch sicher. Es verwendet Math.random(), das vorhersagbar sein kann. Für IDs ungeeignet, es sei denn, man aktiviert explizit charset: 'hex' und nutzt es nur für nicht-kritische Zwecke.
  • shortid: Hatte bekannte Kollisionsprobleme unter Last – ein weiterer Grund für die Deprecation.

📦 Bundle-Größe und Tree-Shaking

Obwohl konkrete Größenangaben hier nicht gefordert sind, spielt die Architektur eine Rolle:

  • nanoid ist extrem klein und unterstützt modernes ES-Modul-Tree-Shaking. Man kann sogar die async-Variante weglassen, wenn man sie nicht braucht.
  • uuid bietet einzelne Versionen als separate Imports an (uuid/v4, uuid/v7), was das Bundle verkleinert.
  • randomstring ist größer, da es viele Optionen und Alphabete mitbringt – oft Overkill für einfache ID-Generierung.
  • shortid ist klein, aber irrelevant wegen Deprecation.

🛠️ Anpassungsfähigkeit und APIs

nanoid erlaubt benutzerdefinierte Alphabete und Längen über customAlphabet:

import { customAlphabet } from 'nanoid';
const alphabet = '0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZ';
const generateId = customAlphabet(alphabet, 10);
const id = generateId(); // z. B. "A1B2C3D4E5"

randomstring bietet viele Optionen:

randomstring.generate({
  length: 12,
  charset: 'alphabetic',
  capitalization: 'lowercase'
}); // z. B. "abcdefghijk"

uuid unterstützt mehrere UUID-Versionen (v1, v4, v7). Für zufällige IDs reicht meist v4:

import { v4 } from 'uuid';
const id = v4();

shortid bot kaum Konfiguration – und ist ohnehin veraltet.

🌐 Typische Einsatzszenarien

Für clientseitige temporäre IDs (z. B. Todo-Listen)

  • ✅ nanoid: Kurz, sicher, schnell, ideal für UI-IDs.
  • ❌ uuid: Zu lang für einfache Fälle, Overhead durch Bindestriche.
  • ❌ randomstring: Keine Kollisionssicherheit.
  • ❌ shortid: Veraltet.

Für serverkompatible, standardisierte IDs (z. B. API-Keys, DB-Primärschlüssel)

  • ✅ uuid: Universeller Standard, gut für verteilte Systeme.
  • ✅ nanoid: Wird zunehmend als kompakter UUID-Ersatz akzeptiert.
  • ❌ randomstring: Fehlende Garantien.

Für nicht-eindeutige Platzhalter (z. B. Demo-Daten)

  • ✅ randomstring: Sinnvoll, wenn Eindeutigkeit unwichtig ist.

📊 Zusammenfassung: Wann welches Paket?

PaketSicher?Kurz?Standard?Empfehlung
nanoid✅✅❌Standard für clientseitige IDs
uuid✅❌✅Für interoperable, standardkonforme IDs
randomstring❌✅❌Nur für nicht-kritische Zufallsstrings
shortid❌✅❌Nicht verwenden – veraltet!

💡 Fazit

  • Wählen Sie nanoid, wenn Sie kurze, sichere, performante IDs im Frontend brauchen – das ist heute der De-facto-Standard für clientseitige Anwendungsfälle.
  • Wählen Sie uuid, wenn Sie einen etablierten Industriestandard benötigen, etwa für APIs oder Datenbanken, und die längere String-Länge kein Problem ist.
  • Vermeiden Sie randomstring für IDs, es sei denn, Sie benötigen bewusst keinen Kollisionsschutz.
  • Vermeiden Sie shortid komplett – es ist veraltet und unsicher.

Mit dieser Entscheidungsgrundlage können Sie die richtige Bibliothek für Ihr Projekt auswählen – ohne technische Schulden einzugehen.

Wie man wählt: uuid vs nanoid vs shortid vs randomstring

  • uuid:

    Wählen Sie uuid, wenn Sie standardisierte, interoperable Identifikatoren benötigen – etwa für APIs, Datenbank-Primärschlüssel oder verteilte Systeme. UUIDs (insbesondere Version 4) sind universell anerkannt, kryptografisch sicher und garantieren praktisch keine Kollisionen. Akzeptieren Sie die längere String-Länge (36 Zeichen) als Kompromiss für Kompatibilität und Zuverlässigkeit.

  • nanoid:

    Wählen Sie nanoid, wenn Sie kurze, URL-sichere, kryptografisch starke IDs im Frontend benötigen – etwa für temporäre DOM-IDs, clientseitige Entitäten oder kompakte Referenzen. Es ist minimal, schnell und nutzt sichere Zufallsquellen im Browser. Ideal für moderne Webanwendungen, die auf Bundle-Größe und Performance achten.

  • shortid:

    Verwenden Sie shortid nicht in neuen Projekten. Das Paket ist offiziell als veraltet markiert, wird nicht mehr gewartet und hat bekannte Probleme mit Kollisionen unter Last. Die Dokumentation empfiehlt ausdrücklich, stattdessen nanoid zu nutzen. Bestehende Abhängigkeiten sollten migriert werden.

  • randomstring:

    Wählen Sie randomstring nur, wenn Sie bewusst keine Eindeutigkeitsgarantie benötigen – etwa für Demo-Daten, Platzhalter oder nicht-kritische Zufallsbezeichner. Es ist nicht kryptografisch sicher und daher ungeeignet für echte IDs in produktiven Systemen. Vermeiden Sie es für jegliche Form der Identifikation, bei der Kollisionen problematisch wären.

README für uuid

uuid CI Browser

For the creation of RFC9562 (formerly RFC4122) UUIDs

[!NOTE]

Starting with uuid@12 CommonJS is no longer supported. See implications and motivation for details.

Quickstart

1. Install

npm install uuid

2. Create a UUID

import { v4 as uuidv4 } from 'uuid';

uuidv4(); // ⇨ 'b18794e8-5d0d-417c-b361-ba38e78411b4'

For timestamp UUIDs, namespace UUIDs, and other options read on ...

API Summary

uuid.NILThe nil UUID string (all zeros)
uuid.MAXThe max UUID string (all ones)
uuid.parse()Convert UUID string to array of bytes
uuid.stringify()Convert array of bytes to UUID string
uuid.v1()Generate a version 1 (timestamp) UUID
uuid.v1ToV6()Convert a version 1 UUID to version 6
uuid.v3()Generate a version 3 (namespace w/ MD5) UUID
uuid.v4()Generate a version 4 (random) UUID
uuid.v5()Generate a version 5 (namespace w/ SHA-1) UUID
uuid.v6()Generate a version 6 (timestamp, reordered) UUID
uuid.v6ToV1()Convert a version 6 UUID to version 1
uuid.v7()Generate a version 7 (Unix Epoch time-based) UUID
uuid.v8()"Intentionally left blank"
uuid.validate()Test a string to see if it is a valid UUID
uuid.version()Detect RFC version of a UUID

API

uuid.NIL

The nil UUID string (all zeros).

Example:

import { NIL as NIL_UUID } from 'uuid';

NIL_UUID; // ⇨ '00000000-0000-0000-0000-000000000000'

uuid.MAX

The max UUID string (all ones).

Example:

import { MAX as MAX_UUID } from 'uuid';

MAX_UUID; // ⇨ 'ffffffff-ffff-ffff-ffff-ffffffffffff'

uuid.parse(str)

Convert UUID string to array of bytes

strA valid UUID String
returnsUint8Array[16]
throwsTypeError if str is not a valid UUID

[!NOTE] Ordering of values in the byte arrays used by parse() and stringify() follows the left ↠ right order of hex-pairs in UUID strings. As shown in the example below.

Example:

import { parse as uuidParse } from 'uuid';

// Parse a UUID
uuidParse('6ec0bd7f-11c0-43da-975e-2a8ad9ebae0b'); // ⇨
// Uint8Array(16) [
//   110, 192, 189, 127,  17,
//   192,  67, 218, 151,  94,
//    42, 138, 217, 235, 174,
//    11
// ]

uuid.stringify(arr[, offset])

Convert array of bytes to UUID string

arrArray-like collection of 16 values (starting from offset) between 0-255.
[offset = 0]Number Starting index in the Array
returnsString
throwsTypeError if a valid UUID string cannot be generated

[!NOTE] Ordering of values in the byte arrays used by parse() and stringify() follows the left ↠ right order of hex-pairs in UUID strings. As shown in the example below.

Example:

import { stringify as uuidStringify } from 'uuid';

const uuidBytes = Uint8Array.of(
  0x6e,
  0xc0,
  0xbd,
  0x7f,
  0x11,
  0xc0,
  0x43,
  0xda,
  0x97,
  0x5e,
  0x2a,
  0x8a,
  0xd9,
  0xeb,
  0xae,
  0x0b
);

uuidStringify(uuidBytes); // ⇨ '6ec0bd7f-11c0-43da-975e-2a8ad9ebae0b'

uuid.v1([options[, buffer[, offset]]])

Create an RFC version 1 (timestamp) UUID

[options]Object with one or more of the following properties:
[options.node = (random) ]RFC "node" field as an Array[6] of byte values (per 4.1.6)
[options.clockseq = (random)]RFC "clock sequence" as a Number between 0 - 0x3fff
[options.msecs = (current time)]RFC "timestamp" field (Number of milliseconds, unix epoch)
[options.nsecs = 0]RFC "timestamp" field (Number of nanoseconds to add to msecs, should be 0-10,000)
[options.random = (random)]Array of 16 random bytes (0-255) used to generate other fields, above
[options.rng]Alternative to options.random, a Function that returns an Array of 16 random bytes (0-255)
[buffer]Uint8Array or Uint8Array subtype (e.g. Node.js Buffer). If provided, binary UUID is written into the array, starting at offset
[offset = 0]Number Index to start writing UUID bytes in buffer
returnsUUID String if no buffer is specified, otherwise returns buffer
throwsError if more than 10M UUIDs/sec are requested

Example:

import { v1 as uuidv1 } from 'uuid';

uuidv1(); // ⇨ '57fd0000-c7d3-11ef-841d-514d2167fc5b'

Example using options:

import { v1 as uuidv1 } from 'uuid';

const options = {
  node: Uint8Array.of(0x01, 0x23, 0x45, 0x67, 0x89, 0xab),
  clockseq: 0x1234,
  msecs: new Date('2011-11-01').getTime(),
  nsecs: 5678,
};
uuidv1(options); // ⇨ '710b962e-041c-11e1-9234-0123456789ab'

uuid.v1ToV6(uuid)

Convert a UUID from version 1 to version 6

import { v1ToV6 } from 'uuid';

v1ToV6('92f62d9e-22c4-11ef-97e9-325096b39f47'); // ⇨ '1ef22c49-2f62-6d9e-97e9-325096b39f47'

uuid.v3(name, namespace[, buffer[, offset]])

Create an RFC version 3 (namespace w/ MD5) UUID

API is identical to v5(), but uses "v3" instead.

[!IMPORTANT] Per the RFC, "If backward compatibility is not an issue, SHA-1 [Version 5] is preferred."

uuid.v4([options[, buffer[, offset]]])

Create an RFC version 4 (random) UUID

[options]Object with one or more of the following properties:
[options.random]Array of 16 random bytes (0-255)
[options.rng]Alternative to options.random, a Function that returns an Array of 16 random bytes (0-255)
[buffer]Uint8Array or Uint8Array subtype (e.g. Node.js Buffer). If provided, binary UUID is written into the array, starting at offset
[offset = 0]Number Index to start writing UUID bytes in buffer
returnsUUID String if no buffer is specified, otherwise returns buffer

Example:

import { v4 as uuidv4 } from 'uuid';

uuidv4(); // ⇨ 'b18794e8-5d0d-417c-b361-ba38e78411b4'

Example using predefined random values:

import { v4 as uuidv4 } from 'uuid';

const v4options = {
  random: Uint8Array.of(
    0x10,
    0x91,
    0x56,
    0xbe,
    0xc4,
    0xfb,
    0xc1,
    0xea,
    0x71,
    0xb4,
    0xef,
    0xe1,
    0x67,
    0x1c,
    0x58,
    0x36
  ),
};
uuidv4(v4options); // ⇨ '109156be-c4fb-41ea-b1b4-efe1671c5836'

uuid.v5(name, namespace[, buffer[, offset]])

Create an RFC version 5 (namespace w/ SHA-1) UUID

nameString | Array
namespaceString | Array[16] Namespace UUID
[buffer]Uint8Array or Uint8Array subtype (e.g. Node.js Buffer). If provided, binary UUID is written into the array, starting at offset
[offset = 0]Number Index to start writing UUID bytes in buffer
returnsUUID String if no buffer is specified, otherwise returns buffer

[!NOTE] The RFC DNS and URL namespaces are available as v5.DNS and v5.URL.

Example with custom namespace:

import { v5 as uuidv5 } from 'uuid';

// Define a custom namespace.  Readers, create your own using something like
// https://www.uuidgenerator.net/
const MY_NAMESPACE = '1b671a64-40d5-491e-99b0-da01ff1f3341';

uuidv5('Hello, World!', MY_NAMESPACE); // ⇨ '630eb68f-e0fa-5ecc-887a-7c7a62614681'

Example with RFC URL namespace:

import { v5 as uuidv5 } from 'uuid';

uuidv5('https://www.w3.org/', uuidv5.URL); // ⇨ 'c106a26a-21bb-5538-8bf2-57095d1976c1'

uuid.v6([options[, buffer[, offset]]])

Create an RFC version 6 (timestamp, reordered) UUID

This method takes the same arguments as uuid.v1().

import { v6 as uuidv6 } from 'uuid';

uuidv6(); // ⇨ '1efc7d35-7fd0-6000-841d-504d2167fc5b'

Example using options:

import { v6 as uuidv6 } from 'uuid';

const options = {
  node: [0x01, 0x23, 0x45, 0x67, 0x89, 0xab],
  clockseq: 0x1234,
  msecs: new Date('2011-11-01').getTime(),
  nsecs: 5678,
};
uuidv6(options); // ⇨ '1e1041c7-10b9-662e-9234-0123456789ab'

uuid.v6ToV1(uuid)

Convert a UUID from version 6 to version 1

import { v6ToV1 } from 'uuid';

v6ToV1('1ef22c49-2f62-6d9e-97e9-325096b39f47'); // ⇨ '92f62d9e-22c4-11ef-97e9-325096b39f47'

uuid.v7([options[, buffer[, offset]]])

Create an RFC version 7 (random) UUID

[options]Object with one or more of the following properties:
[options.msecs = (current time)]RFC "timestamp" field (Number of milliseconds, unix epoch)
[options.random = (random)]Array of 16 random bytes (0-255) used to generate other fields, above
[options.rng]Alternative to options.random, a Function that returns an Array of 16 random bytes (0-255)
[options.seq = (random)]32-bit sequence Number between 0 - 0xffffffff. This may be provided to help ensure uniqueness for UUIDs generated within the same millisecond time interval. Default = random value.
[buffer]Uint8Array or Uint8Array subtype (e.g. Node.js Buffer). If provided, binary UUID is written into the array, starting at offset
[offset = 0]Number Index to start writing UUID bytes in buffer
returnsUUID String if no buffer is specified, otherwise returns buffer

Example:

import { v7 as uuidv7 } from 'uuid';

uuidv7(); // ⇨ '01941f29-7c00-73e4-a310-744d2167fc5b'

uuid.v8()

"Intentionally left blank"

[!NOTE] Version 8 (experimental) UUIDs are "for experimental or vendor-specific use cases". The RFC does not define a creation algorithm for them, which is why this package does not offer a v8() method. The validate() and version() methods do work with such UUIDs, however.

uuid.validate(str)

Test a string to see if it is a valid UUID

strString to validate
returnstrue if string is a valid UUID, false otherwise

Example:

import { validate as uuidValidate } from 'uuid';

uuidValidate('not a UUID'); // ⇨ false
uuidValidate('6ec0bd7f-11c0-43da-975e-2a8ad9ebae0b'); // ⇨ true

Using validate and version together it is possible to do per-version validation, e.g. validate for only v4 UUIds.

import { version as uuidVersion } from 'uuid';
import { validate as uuidValidate } from 'uuid';

function uuidValidateV4(uuid) {
  return uuidValidate(uuid) && uuidVersion(uuid) === 4;
}

const v1Uuid = 'd9428888-122b-11e1-b85c-61cd3cbb3210';
const v4Uuid = '109156be-c4fb-41ea-b1b4-efe1671c5836';

uuidValidateV4(v4Uuid); // ⇨ true
uuidValidateV4(v1Uuid); // ⇨ false

uuid.version(str)

Detect RFC version of a UUID

strA valid UUID String
returnsNumber The RFC version of the UUID
throwsTypeError if str is not a valid UUID

Example:

import { version as uuidVersion } from 'uuid';

uuidVersion('45637ec4-c85f-11ea-87d0-0242ac130003'); // ⇨ 1
uuidVersion('6ec0bd7f-11c0-43da-975e-2a8ad9ebae0b'); // ⇨ 4

[!NOTE] This method returns 0 for the NIL UUID, and 15 for the MAX UUID.

Command Line

UUIDs can be generated from the command line using uuid.

$ npx uuid
ddeb27fb-d9a0-4624-be4d-4615062daed4

The default is to generate version 4 UUIDS, however the other versions are supported. Type uuid --help for details:

$ npx uuid --help

Usage:
  uuid
  uuid v1
  uuid v3 <name> <namespace uuid>
  uuid v4
  uuid v5 <name> <namespace uuid>
  uuid v7
  uuid --help

Note: <namespace uuid> may be "URL" or "DNS" to use the corresponding UUIDs
defined by RFC9562

options Handling for Timestamp UUIDs

Prior to uuid@11, it was possible for options state to interfere with the internal state used to ensure uniqueness of timestamp-based UUIDs (the v1(), v6(), and v7() methods). Starting with uuid@11, this issue has been addressed by using the presence of the options argument as a flag to select between two possible behaviors:

  • Without options: Internal state is utilized to improve UUID uniqueness.
  • With options: Internal state is NOT used and, instead, appropriate defaults are applied as needed.

Support

Browsers: uuid builds are tested against the latest version of desktop Chrome, Safari, Firefox, and Edge. Mobile versions of these same browsers are expected to work but aren't currently tested.

Node: uuid builds are tested against node (LTS releases), plus one prior. E.g. At the time of this writing node@20 is the "maintenance" release and node@24 is the "current" release, so uuid supports node@20-node@24.

Typescript: TS versions released within the past two years are supported. source

Known issues

"getRandomValues() not supported"

This error occurs in environments where the standard crypto.getRandomValues() API is not supported. This issue can be resolved by adding an appropriate polyfill:

React Native / Expo

  1. Install react-native-get-random-values
  2. Import it before uuid. Since uuid might also appear as a transitive dependency of some other imports it's safest to just import react-native-get-random-values as the very first thing in your entry point:
import 'react-native-get-random-values';
import { v4 as uuidv4 } from 'uuid';

Generated from README_js.md by runmd