crypto-random-string、uuid、uuid-random、uuidv4は、JavaScript アプリケーションで一意の識別子やランダムなトークンを生成するためのライブラリです。uuidは RFC 4122 に準拠した標準的な UUID を生成する業界標準のパッケージであり、バージョン 1 から 5 まで幅広いサポートを提供します。crypto-random-stringは、暗号学的に安全な乱数生成器を使用して、任意の長さのカスタム文字列を作成することに特化しています。一方、uuid-randomとuuidv4は、UUID Version 4 の生成のみに焦点を当てた軽量な代替案ですが、メンテナンス状況や機能の範囲に大きな違いがあります。これらを適切に使い分けることは、セキュリティ要件とパフォーマンスのバランスを取る上で重要です。
フロントエンドおよびバックエンドの開発において、一意の識別子(ID)やセキュリティトークンの生成は日常的なタスクです。しかし、「ランダムな文字列」なら何でも良いわけではなく、用途によって「暗号学的な安全性」が必要だったり、「業界標準のフォーマット」が必要だったりします。ここでは、crypto-random-string、uuid、uuid-random、uuidv4の 4 つのパッケージを比較し、それぞれの技術的な特性と適切な使い所を明確にします。
最も重要な違いは、生成される値の「予測不可能性」と「フォーマット」です。
**crypto-random-string**は、その名の通り Node.js のcryptoモジュール(ブラウザでは Web Crypto API)を使用して、暗号学的に安全な乱数を生成します。
// crypto-random-string: 暗号学的に安全なカスタム文字列
import cryptoRandomString from 'crypto-random-string';
// 32 文字の英数字(セッション ID など)
const sessionId = cryptoRandomString({ length: 32 });
// 16 進数形式(カラーコードや簡易トークン)
const hexToken = cryptoRandomString({ length: 10, type: 'hex' });
console.log(sessionId); // e.g., 'x7f9... (32 chars)'
**uuid**は、RFC 4122 という国際標準に準拠した UUID を生成します。
550e8400-e29b-41d4-a716-446655440000)。// uuid: 標準的な UUID Version 4
import { v4 as uuidv4 } from 'uuid';
const id = uuidv4();
console.log(id); // e.g., '550e8400-e29b-41d4-a716-446655440000'
**uuid-randomとuuidv4**も UUID Version 4 を生成しますが、実装のアプローチが異なります。
uuid-randomは、名前の通りランダム生成に特化していますが、機能は単一です。uuidv4は、かつて人気がありましたが、現在はメンテナンスが終了しています。// uuid-random: 簡易な UUID v4 生成
import uuid from 'uuid-random';
const id = uuid();
console.log(id); // e.g., 'a1b2c3d4-...'
// uuidv4: 非推奨のパッケージ(例示のみ。使用非推奨)
// import uuidv4Legacy from 'uuidv4';
// const id = uuidv4Legacy();
プロジェクトによっては、標準の UUID(36 文字)は長すぎたり、短すぎたりすることがあります。
**crypto-random-string**はこの点で最も柔軟です。必要な長さと文字種を正確に指定できます。
// crypto-random-string: 完全なカスタマイズ
import cryptoRandomString from 'crypto-random-string';
// 短いコード(6 文字)
const shortCode = cryptoRandomString({ length: 6, characters: '0123456789' });
// 長い秘密鍵風トークン
const secret = cryptoRandomString({ length: 64, type: 'base64' });
**uuid**パッケージも、Version 1(時間ベース)や Version 5(名前ベース)など、異なる生成戦略を選択できます。これは単なるランダム生成以上の制御を意味します。
// uuid: バージョンによる生成戦略の切り替え
import { v1 as uuidv1, v5 as uuidv5 } from 'uuid';
import { v4 as uuidv4 } from 'uuid';
// Version 1: タイムスタンプベース(順序がわかる ID)
const timeBasedId = uuidv1();
// Version 5: 名前空間と名前から決定論的に生成
const namespace = uuidv5.URL;
const deterministicId = uuidv5('example.com', namespace);
**uuid-randomとuuidv4**は、Version 4 の生成のみをサポートしており、長さの変更や他のバージョンへの切り替えオプションは提供していません。これは「UUID v4 が欲しいだけ」というシンプルなケースでは利点ですが、拡張性はありません。
// uuid-random: オプションなしの単純生成
import uuid from 'uuid-random';
// カスタマイズオプションは存在しない
const id = uuid();
パッケージの選定において、メンテナンス状況はバグ修正やセキュリティパッチの適用に直結するため、最も重要な判断基準の一つです。
**uuid**は、Node.js コミュニティにおいて事実上の標準(de-facto standard)です。活発にメンテナンスされており、TypeScript の型定義も充実しています。新規プロジェクトでは、特別な理由がない限りこれ一択です。
**crypto-random-string**も、Sindre Sorhus 氏によってメンテナンスされており、特定の用途(暗号学的トークン)においては信頼できる選択肢です。
**uuid-random**は機能しますが、uuidパッケージに比べて機能性が低く、大規模なエコシステムのサポートも受けられません。
**uuidv4は、npm ページおよびリポジトリで非推奨(Deprecated)**として明示されています。これは、機能がuuidパッケージに統合されたためです。新規プロジェクトでこれを使用することは、技術的負債を最初から抱え込むことを意味します。
// ❌ 非推奨: uuidv4 パッケージ
// npm install uuidv4 (非推奨)
import uuidv4 from 'uuidv4';
// ✅ 推奨: uuid パッケージから v4 をインポート
// npm install uuid
import { v4 as uuidv4 } from 'uuid';
実際の開発現場では、以下のような基準で選択を行います。
ユーザーを識別し、ハイジャックを防ぐためのトークンが必要です。
crypto-random-string// セッショントークンの生成
const sessionToken = cryptoRandomString({ length: 32, type: 'base64url' });
複数のサーバーで生成される ID の衝突を防ぎ、標準的なフォーマットで保存したい場合。
uuid (v4 または v1)// データベース ID の生成
const userId = uuidv4();
セキュリティ要件は高くないが、一意性が必要な場合。
uuid または uuid-randomuuid-randomも候補に入ります。ただし、維持コストを考えるとuuidを推奨します。| 特徴 | crypto-random-string | uuid | uuid-random | uuidv4 |
|---|---|---|---|---|
| 主な用途 | セキュリティトークン、API キー | DB キー、トレーシング ID | 簡易 UUID 生成 | (非推奨) |
| 生成アルゴリズム | 暗号学的乱数生成器 | RFC 4122 (v1~v5) | UUID v4 (乱数) | UUID v4 |
| フォーマット | カスタマイズ可能 | 固定 (8-4-4-4-12) | 固定 | 固定 |
| 柔軟性 | ⭐⭐⭐⭐⭐ (長さ・文字種) | ⭐⭐⭐⭐ (バージョン選択) | ⭐ (v4 のみ) | ⭐ (v4 のみ) |
| メンテナンス | ✅ 活発 | ✅ 業界標準 | ⚠️ 限定的 | ❌ 非推奨 |
| 推奨度 | セキュリティ要件ありの場合 | ほぼ全てのケース | 特殊な軽量化要件 | 使用不可 |
現代の JavaScript アプリケーション開発において、**uuid**パッケージが最もバランスの取れた選択です。RFC 準拠の信頼性、豊富なバージョンオプション、そして確実なメンテナンス体制は、長期的なプロジェクトの安定性を保証します。
ただし、「推測されにくい秘密の文字列」が必要な認証フローなど、セキュリティが最優先される場面では、**crypto-random-string**の持つ暗号学的な強度とカスタマイズ性が不可欠です。
**uuidv4は明確に非推奨であるため、既存コードで見かけた場合はリファクタリングの対象とし、uuid-random**は、よほどの理由(バンドルサイズの極限までの削減など)がない限り、標準的なuuidパッケージを使用するのが賢明です。ツール選定においては、「今動くか」だけでなく、「5 年後も安全に使い続けられるか」という視点が重要になります。
データベースの主キー、分散システムでのトレーシング ID、マイクロサービス間のメッセージ識別など、業界標準のフォーマットが必要な場合に選択します。RFC 4122 に完全に準拠しており、バージョン 1(時間ベース)からバージョン 5(名前ベース)まで必要なアルゴリズムを選べるため、長期的な保守性と互換性が保証されます。大規模なエコシステムと安定したメンテナンス体制があるため、本番環境での重要なインフラストラクチャとして最も信頼できます。
このパッケージは非推奨(deprecated)となっているため、新規プロジェクトでは絶対に使用すべきではありません。過去には UUID v4 の簡易生成に使われていましたが、現在はより包括的でメンテナンスが活発なuuidパッケージへの移行が強く推奨されています。既存のレガシーコードで使われている場合は、技術的負債として早期にuuidなどへの置き換えを計画すべきです。
UUID Version 4 の生成のみが必要で、パッケージのサイズや依存関係を極限まで減らしたい軽微なユースケースに限って検討します。ただし、メンテナンスが活発でない可能性や、機能拡張の余地がない点を考慮し、新規プロジェクトでの採用は慎重に行うべきです。単純なランダム ID 生成以外の機能(名前ベース生成やバージョン管理)が不要な場合のみに限定して使用します。
セッション ID、パスワードリセットトークン、API キーなど、予測不可能性が極めて重要で、かつ UUID の形式に縛られない場合に使います。暗号学的に安全な乱数生成器を使用するため、セキュリティ要件が高い認証システムや金融系アプリケーションでの利用に適しています。任意の長さや文字セットを指定できる柔軟性があるため、独自の識別子フォーマットが必要な場合にも最適です。
For the creation of RFC9562 (formerly RFC4122) UUIDs
crypto API for random valuesuuid command line utility[!NOTE]
Starting with
uuid@12CommonJS is no longer supported. See implications and motivation for details.
1. Install
npm install uuid
2. Create a UUID
import { v4 as uuidv4 } from 'uuid';
uuidv4(); // ⇨ 'b18794e8-5d0d-417c-b361-ba38e78411b4'
For timestamp UUIDs, namespace UUIDs, and other options read on ...
uuid.NIL | The nil UUID string (all zeros) |
uuid.MAX | The max UUID string (all ones) |
uuid.parse() | Convert UUID string to array of bytes |
uuid.stringify() | Convert array of bytes to UUID string |
uuid.v1() | Generate a version 1 (timestamp) UUID |
uuid.v1ToV6() | Convert a version 1 UUID to version 6 |
uuid.v3() | Generate a version 3 (namespace w/ MD5) UUID |
uuid.v4() | Generate a version 4 (random) UUID |
uuid.v5() | Generate a version 5 (namespace w/ SHA-1) UUID |
uuid.v6() | Generate a version 6 (timestamp, reordered) UUID |
uuid.v6ToV1() | Convert a version 6 UUID to version 1 |
uuid.v7() | Generate a version 7 (Unix Epoch time-based) UUID |
uuid.v8() | "Intentionally left blank" |
uuid.validate() | Test a string to see if it is a valid UUID |
uuid.version() | Detect RFC version of a UUID |
The nil UUID string (all zeros).
Example:
import { NIL as NIL_UUID } from 'uuid';
NIL_UUID; // ⇨ '00000000-0000-0000-0000-000000000000'
The max UUID string (all ones).
Example:
import { MAX as MAX_UUID } from 'uuid';
MAX_UUID; // ⇨ 'ffffffff-ffff-ffff-ffff-ffffffffffff'
Convert UUID string to array of bytes
str | A valid UUID String |
| returns | Uint8Array[16] |
| throws | TypeError if str is not a valid UUID |
[!NOTE] Ordering of values in the byte arrays used by
parse()andstringify()follows the left ↠ right order of hex-pairs in UUID strings. As shown in the example below.
Example:
import { parse as uuidParse } from 'uuid';
// Parse a UUID
uuidParse('6ec0bd7f-11c0-43da-975e-2a8ad9ebae0b'); // ⇨
// Uint8Array(16) [
// 110, 192, 189, 127, 17,
// 192, 67, 218, 151, 94,
// 42, 138, 217, 235, 174,
// 11
// ]
Convert array of bytes to UUID string
arr | Array-like collection of 16 values (starting from offset) between 0-255. |
[offset = 0] | Number Starting index in the Array |
| returns | String |
| throws | TypeError if a valid UUID string cannot be generated |
[!NOTE] Ordering of values in the byte arrays used by
parse()andstringify()follows the left ↠ right order of hex-pairs in UUID strings. As shown in the example below.
Example:
import { stringify as uuidStringify } from 'uuid';
const uuidBytes = Uint8Array.of(
0x6e,
0xc0,
0xbd,
0x7f,
0x11,
0xc0,
0x43,
0xda,
0x97,
0x5e,
0x2a,
0x8a,
0xd9,
0xeb,
0xae,
0x0b
);
uuidStringify(uuidBytes); // ⇨ '6ec0bd7f-11c0-43da-975e-2a8ad9ebae0b'
Create an RFC version 1 (timestamp) UUID
[options] | Object with one or more of the following properties: |
[options.node = (random) ] | RFC "node" field as an Array[6] of byte values (per 4.1.6) |
[options.clockseq = (random)] | RFC "clock sequence" as a Number between 0 - 0x3fff |
[options.msecs = (current time)] | RFC "timestamp" field (Number of milliseconds, unix epoch) |
[options.nsecs = 0] | RFC "timestamp" field (Number of nanoseconds to add to msecs, should be 0-10,000) |
[options.random = (random)] | Array of 16 random bytes (0-255) used to generate other fields, above |
[options.rng] | Alternative to options.random, a Function that returns an Array of 16 random bytes (0-255) |
[buffer] | Uint8Array or Uint8Array subtype (e.g. Node.js Buffer). If provided, binary UUID is written into the array, starting at offset |
[offset = 0] | Number Index to start writing UUID bytes in buffer |
| returns | UUID String if no buffer is specified, otherwise returns buffer |
| throws | Error if more than 10M UUIDs/sec are requested |
Example:
import { v1 as uuidv1 } from 'uuid';
uuidv1(); // ⇨ '57fd0000-c7d3-11ef-841d-514d2167fc5b'
Example using options:
import { v1 as uuidv1 } from 'uuid';
const options = {
node: Uint8Array.of(0x01, 0x23, 0x45, 0x67, 0x89, 0xab),
clockseq: 0x1234,
msecs: new Date('2011-11-01').getTime(),
nsecs: 5678,
};
uuidv1(options); // ⇨ '710b962e-041c-11e1-9234-0123456789ab'
Convert a UUID from version 1 to version 6
import { v1ToV6 } from 'uuid';
v1ToV6('92f62d9e-22c4-11ef-97e9-325096b39f47'); // ⇨ '1ef22c49-2f62-6d9e-97e9-325096b39f47'
Create an RFC version 3 (namespace w/ MD5) UUID
API is identical to v5(), but uses "v3" instead.
[!IMPORTANT] Per the RFC, "If backward compatibility is not an issue, SHA-1 [Version 5] is preferred."
Create an RFC version 4 (random) UUID
[options] | Object with one or more of the following properties: |
[options.random] | Array of 16 random bytes (0-255) |
[options.rng] | Alternative to options.random, a Function that returns an Array of 16 random bytes (0-255) |
[buffer] | Uint8Array or Uint8Array subtype (e.g. Node.js Buffer). If provided, binary UUID is written into the array, starting at offset |
[offset = 0] | Number Index to start writing UUID bytes in buffer |
| returns | UUID String if no buffer is specified, otherwise returns buffer |
Example:
import { v4 as uuidv4 } from 'uuid';
uuidv4(); // ⇨ 'b18794e8-5d0d-417c-b361-ba38e78411b4'
Example using predefined random values:
import { v4 as uuidv4 } from 'uuid';
const v4options = {
random: Uint8Array.of(
0x10,
0x91,
0x56,
0xbe,
0xc4,
0xfb,
0xc1,
0xea,
0x71,
0xb4,
0xef,
0xe1,
0x67,
0x1c,
0x58,
0x36
),
};
uuidv4(v4options); // ⇨ '109156be-c4fb-41ea-b1b4-efe1671c5836'
Create an RFC version 5 (namespace w/ SHA-1) UUID
name | String | Array |
namespace | String | Array[16] Namespace UUID |
[buffer] | Uint8Array or Uint8Array subtype (e.g. Node.js Buffer). If provided, binary UUID is written into the array, starting at offset |
[offset = 0] | Number Index to start writing UUID bytes in buffer |
| returns | UUID String if no buffer is specified, otherwise returns buffer |
[!NOTE] The RFC
DNSandURLnamespaces are available asv5.DNSandv5.URL.
Example with custom namespace:
import { v5 as uuidv5 } from 'uuid';
// Define a custom namespace. Readers, create your own using something like
// https://www.uuidgenerator.net/
const MY_NAMESPACE = '1b671a64-40d5-491e-99b0-da01ff1f3341';
uuidv5('Hello, World!', MY_NAMESPACE); // ⇨ '630eb68f-e0fa-5ecc-887a-7c7a62614681'
Example with RFC URL namespace:
import { v5 as uuidv5 } from 'uuid';
uuidv5('https://www.w3.org/', uuidv5.URL); // ⇨ 'c106a26a-21bb-5538-8bf2-57095d1976c1'
Create an RFC version 6 (timestamp, reordered) UUID
This method takes the same arguments as uuid.v1().
import { v6 as uuidv6 } from 'uuid';
uuidv6(); // ⇨ '1efc7d35-7fd0-6000-841d-504d2167fc5b'
Example using options:
import { v6 as uuidv6 } from 'uuid';
const options = {
node: [0x01, 0x23, 0x45, 0x67, 0x89, 0xab],
clockseq: 0x1234,
msecs: new Date('2011-11-01').getTime(),
nsecs: 5678,
};
uuidv6(options); // ⇨ '1e1041c7-10b9-662e-9234-0123456789ab'
Convert a UUID from version 6 to version 1
import { v6ToV1 } from 'uuid';
v6ToV1('1ef22c49-2f62-6d9e-97e9-325096b39f47'); // ⇨ '92f62d9e-22c4-11ef-97e9-325096b39f47'
Create an RFC version 7 (random) UUID
[options] | Object with one or more of the following properties: |
[options.msecs = (current time)] | RFC "timestamp" field (Number of milliseconds, unix epoch) |
[options.random = (random)] | Array of 16 random bytes (0-255) used to generate other fields, above |
[options.rng] | Alternative to options.random, a Function that returns an Array of 16 random bytes (0-255) |
[options.seq = (random)] | 32-bit sequence Number between 0 - 0xffffffff. This may be provided to help ensure uniqueness for UUIDs generated within the same millisecond time interval. Default = random value. |
[buffer] | Uint8Array or Uint8Array subtype (e.g. Node.js Buffer). If provided, binary UUID is written into the array, starting at offset |
[offset = 0] | Number Index to start writing UUID bytes in buffer |
| returns | UUID String if no buffer is specified, otherwise returns buffer |
Example:
import { v7 as uuidv7 } from 'uuid';
uuidv7(); // ⇨ '01941f29-7c00-73e4-a310-744d2167fc5b'
"Intentionally left blank"
[!NOTE] Version 8 (experimental) UUIDs are "for experimental or vendor-specific use cases". The RFC does not define a creation algorithm for them, which is why this package does not offer a
v8()method. Thevalidate()andversion()methods do work with such UUIDs, however.
Test a string to see if it is a valid UUID
str | String to validate |
| returns | true if string is a valid UUID, false otherwise |
Example:
import { validate as uuidValidate } from 'uuid';
uuidValidate('not a UUID'); // ⇨ false
uuidValidate('6ec0bd7f-11c0-43da-975e-2a8ad9ebae0b'); // ⇨ true
Using validate and version together it is possible to do per-version validation, e.g. validate for only v4 UUIds.
import { version as uuidVersion } from 'uuid';
import { validate as uuidValidate } from 'uuid';
function uuidValidateV4(uuid) {
return uuidValidate(uuid) && uuidVersion(uuid) === 4;
}
const v1Uuid = 'd9428888-122b-11e1-b85c-61cd3cbb3210';
const v4Uuid = '109156be-c4fb-41ea-b1b4-efe1671c5836';
uuidValidateV4(v4Uuid); // ⇨ true
uuidValidateV4(v1Uuid); // ⇨ false
Detect RFC version of a UUID
str | A valid UUID String |
| returns | Number The RFC version of the UUID |
| throws | TypeError if str is not a valid UUID |
Example:
import { version as uuidVersion } from 'uuid';
uuidVersion('45637ec4-c85f-11ea-87d0-0242ac130003'); // ⇨ 1
uuidVersion('6ec0bd7f-11c0-43da-975e-2a8ad9ebae0b'); // ⇨ 4
[!NOTE] This method returns
0for theNILUUID, and15for theMAXUUID.
UUIDs can be generated from the command line using uuid.
$ npx uuid
ddeb27fb-d9a0-4624-be4d-4615062daed4
The default is to generate version 4 UUIDS, however the other versions are supported. Type uuid --help for details:
$ npx uuid --help
Usage:
uuid
uuid v1
uuid v3 <name> <namespace uuid>
uuid v4
uuid v5 <name> <namespace uuid>
uuid v7
uuid --help
Note: <namespace uuid> may be "URL" or "DNS" to use the corresponding UUIDs
defined by RFC9562
options Handling for Timestamp UUIDsPrior to uuid@11, it was possible for options state to interfere with the internal state used to ensure uniqueness of timestamp-based UUIDs (the v1(), v6(), and v7() methods). Starting with uuid@11, this issue has been addressed by using the presence of the options argument as a flag to select between two possible behaviors:
options: Internal state is utilized to improve UUID uniqueness.options: Internal state is NOT used and, instead, appropriate defaults are applied as needed.Browsers: uuid builds are tested against the latest version of desktop Chrome, Safari, Firefox, and Edge. Mobile versions of these same browsers are expected to work but aren't currently tested.
Node: uuid builds are tested against node (LTS releases), plus one prior. E.g. At the time of this writing node@20 is the "maintenance" release and node@24 is the "current" release, so uuid supports node@20-node@24.
Typescript: TS versions released within the past two years are supported. source
This error occurs in environments where the standard crypto.getRandomValues() API is not supported. This issue can be resolved by adding an appropriate polyfill:
react-native-get-random-valuesuuid. Since uuid might also appear as a transitive dependency of some other imports it's safest to just import react-native-get-random-values as the very first thing in your entry point:import 'react-native-get-random-values';
import { v4 as uuidv4 } from 'uuid';
Generated from README_js.md by runmd