uuid vs nanoid vs shortid vs randomstring
Web アプリケーションにおける一意な ID 生成戦略
uuidnanoidshortidrandomstring類似パッケージ:

Web アプリケーションにおける一意な ID 生成戦略

nanoid、randomstring、shortid、uuid は、すべて Web 開発で一意な識別子やトークンを生成するために使われるライブラリですが、設計思想と用途が異なります。nanoid は小さく URL に安全な ID 生成に最適化されており、uuid は業界標準の RFC 4122 形式に従います。randomstring は単純なランダム文字列生成に使われますが、shortid は現在廃止されており、新しいプロジェクトでの使用は推奨されません。

npmのダウンロードトレンド

3 年

GitHub Starsランキング

統計詳細

パッケージ
ダウンロード数
Stars
サイズ
Issues
公開日時
ライセンス
uuid399,942,44115,34565.7 kB822日前MIT
nanoid360,043,58727,11814.7 kB21ヶ月前MIT
shortid1,271,9995,70921.7 kB162年前MIT
randomstring1,088,62452217 kB21ヶ月前MIT

Web アプリケーションにおける一意な ID 生成戦略

nanoid、randomstring、shortid、uuid は、すべて開発者が一意な識別子を作成するためのツールですが、内部の仕組みと適した場面が全く異なります。セキュリティ要件、URL での扱いやすさ、そして標準準拠の必要性によって、選ぶべきライブラリが変わります。ここでは、実務的な観点からこれらを比較します。

🔒 セキュリティと生成アルゴリズム

ID 生成において最も重要なのは、予測不可能性です。攻撃者に次の ID を推測されてしまうと、セッションハイジャックやデータ漏洩のリスクになります。

nanoid は、ブラウザでは crypto.getRandomValues を、Node.js では crypto.randomBytes を使用します。

  • 暗号学的に安全な乱数生成器を使用します。
  • デフォルトでセキュリティが確保されています。
// nanoid: 暗号学的に安全な ID 生成
import { nanoid } from 'nanoid';
const id = nanoid(); // 例:V1StGXR8_Z5jdHi6B-myT

uuid (v4) も同様に、暗号学的に安全な乱数を使用します。

  • RFC 4122 標準に準拠した乱数生成を行います。
  • バージョン 4 は純粋な乱数に基づきます。
// uuid: 標準準拠の安全な生成
import { v4 as uuidv4 } from 'uuid';
const id = uuidv4(); // 例:9b1deb4d-3b7d-4bad-9bdd-2b0d7b3dcb6d

randomstring は、デフォルトでは Math.random を使用することがあります。

  • 設定によっては暗号学的に安全でない場合があります。
  • セキュリティが重要な用途には追加の設定や確認が必要です。
// randomstring: 設定に注意が必要
import RandomString from 'randomstring';
// 暗号学的に安全なオプションを明示する必要があります
const id = RandomString.generate({ length: 10, charset: 'alphanumeric' }); 

shortid は、独自のアルゴリズムを使用していましたが、現在では推奨されません。

  • 過去には安全とされていましたが、メンテナンスが停止しています。
  • 新しいセキュリティ基準に対応していない可能性があります。
// shortid: 廃止済みのため使用非推奨
import shortid from 'shortid';
const id = shortid(); // 例:P1gT86M

🌐 URL 安全性と文字列の長さ

ID を URL パラメータやパスとして使用する場合、特殊文字が含まれているとエンコードが必要になり、不便です。また、ID が長いほどデータ量が増加します。

nanoid は URL に安全な文字のみを使用するように設計されています。

  • _、-、アルファベット、数字のみを含みます。
  • デフォルト長は 21 文字で、衝突確率は非常に低いです。
// nanoid: URL セーフな文字セット
import { nanoid } from 'nanoid';
const urlId = nanoid(); // エンコード不要で URL に埋め込み可能

uuid はハイフン - を含みますが、これも URL で安全です。

  • 標準形式では 36 文字(ハイフン含む)になります。
  • nanoid に比べると文字数が多いです。
// uuid: 標準形式は较长
import { v4 as uuidv4 } from 'uuid';
const urlId = uuidv4(); // 36 文字

randomstring は文字セットを自由に設定できます。

  • URL セーフな文字セットを手動で選ぶ必要があります。
  • 長さも自由に指定できます。
// randomstring: 手動で URL セーフ設定
import RandomString from 'randomstring';
const urlId = RandomString.generate({ 
  length: 10, 
  charset: 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789_-' 
});

shortid は URL に安全な文字を使用していました。

  • 非常に短い ID を生成できました。
  • しかし、廃止されたため新規採用は避けるべきです。
// shortid: 短い ID 生成(廃止済み)
import shortid from 'shortid';
const urlId = shortid(); // 非常に短い

📦 標準準拠と互換性

既存のデータベースや外部システムと連携する場合、特定の形式が求められることがあります。

nanoid は独自の形式です。

  • 特定の標準規格には準拠していません。
  • 自社のシステム内で完結する場合に最適です。
// nanoid: 独自形式
const id = nanoid(); // 特定の標準なし

uuid は RFC 4122 標準に完全準拠しています。

  • PostgreSQL の UUID 型や、他の言語の UUID ライブラリと互換性があります。
  • 分散システムでの一意性保証に強いです。
// uuid: RFC 4122 準拠
const id = uuidv4(); // どの UUID パーサーでも解析可能

randomstring は形式を定義しません。

  • 単なる文字列であり、標準性はありません。
  • 内部処理用のキーなどに使われます。
// randomstring: 形式なし
const id = RandomString.generate(); // 単なる文字列

shortid は独自の形式でした。

  • 標準性はありませんでした。
  • 互換性よりも短さを重視していました。
// shortid: 独自形式(廃止済み)
const id = shortid(); // 標準性なし

⚠️ 廃止状況とメンテナンス

ライブラリが将来もメンテナンスされ続けるかは、長期プロジェクトにおいて重要な判断材料です。

nanoid は積極的にメンテナンスされています。

  • 現代のブラウザと Node.js 版本に対応しています。
  • shortid の公式後継として推奨されています。
// nanoid: 活発にメンテナンス中
import { nanoid } from 'nanoid'; // 最新 API

uuid も長年メンテナンスされ続けています。

  • 業界標準であるため、サポートが続く可能性が高いです。
  • 複数のバージョン(v1, v4, v5)が利用可能です。
// uuid: 長期サポート
import { v4 } from 'uuid'; // 安定した API

randomstring はメンテナンスされていますが、更新頻度は低めです。

  • 機能は安定していますが、新しいセキュリティ機能の追加は少ないです。
// randomstring: 安定だが更新は緩やか
import RandomString from 'randomstring';

shortid は公式に廃止(Deprecated)されています。

  • npm ページで廃止_notice が出ています。
  • 新しいプロジェクトで使うべきではありません。
// shortid: 廃止済み
// 使用しないでください。代わりに nanoid を使用します。

📊 比較サマリー

特徴nanoiduuidrandomstringshortid
セキュリティ✅ 暗号学的に安全✅ 暗号学的に安全 (v4)⚠️ 設定による⚠️ 旧式
URL 安全性✅ デフォルトで安全✅ ハイフン含む⚠️ 手動設定必要✅ 安全
文字数21 文字 (デフォルト)36 文字任意非常に短い
標準準拠❌ 独自形式✅ RFC 4122❌ なし❌ 独自形式
状態✅ 推奨✅ 推奨⚠️ 限定利用❌ 廃止済み

💡 最終推奨

nanoid は、現代の Web アプリケーションにおけるデファクトスタンダードになりつつあります — 特にフロントエンドや URL で使用する ID が必要な場合に最適です。小さく、安全で、使いやすいというバランスが優れています。

uuid は、バックエンドシステムとの統合や、データベースの UUID 型を使用する場合に選択すべきです — 標準準拠が必要な場面ではこれ一択です。

randomstring は、セキュリティが重要でない一時的なデータ生成に留めるべきです — 認証トークンなどには使用しないでください。

shortid は、新しいプロジェクトでは絶対に使用しないでください — 廃止されており、nanoid への移行が公式に推奨されています。

結論として:迷ったら nanoid を選び、標準互換性が必要なら uuid を選ぶ — これが現在の最も合理的な判断です。

選び方: uuid vs nanoid vs shortid vs randomstring

  • uuid:

    既存のシステムとの互換性や、RFC 標準への準拠が必須な場合に選択します。データベースの主キーや、マイクロサービス間でのトレース ID として広く使われています。

  • nanoid:

    フロントエンドや URL に埋め込む ID が必要な場合に選択します。バンドルサイズが小さく、セキュリティも確保されているため、現代の Web アプリケーションで最もバランスが良い選択肢です。

  • shortid:

    新しいプロジェクトでは使用しないでください。公式に廃止されており、メンテナンスが停止しています。既存プロジェクトでは nanoid への移行を検討すべきです。

  • randomstring:

    cryptographic なセキュリティが不要な、一時的なプレースホルダーやテストデータ生成に適しています。ただし、セキュリティが重要なトークンには nanoid や uuid を使うべきです。

uuid のREADME

uuid CI Browser

For the creation of RFC9562 (formerly RFC4122) UUIDs

[!NOTE]

Starting with uuid@12 CommonJS is no longer supported. See implications and motivation for details.

Quickstart

1. Install

npm install uuid

2. Create a UUID

import { v4 as uuidv4 } from 'uuid';

uuidv4(); // ⇨ 'b18794e8-5d0d-417c-b361-ba38e78411b4'

For timestamp UUIDs, namespace UUIDs, and other options read on ...

API Summary

uuid.NILThe nil UUID string (all zeros)
uuid.MAXThe max UUID string (all ones)
uuid.parse()Convert UUID string to array of bytes
uuid.stringify()Convert array of bytes to UUID string
uuid.v1()Generate a version 1 (timestamp) UUID
uuid.v1ToV6()Convert a version 1 UUID to version 6
uuid.v3()Generate a version 3 (namespace w/ MD5) UUID
uuid.v4()Generate a version 4 (random) UUID
uuid.v5()Generate a version 5 (namespace w/ SHA-1) UUID
uuid.v6()Generate a version 6 (timestamp, reordered) UUID
uuid.v6ToV1()Convert a version 6 UUID to version 1
uuid.v7()Generate a version 7 (Unix Epoch time-based) UUID
uuid.v8()"Intentionally left blank"
uuid.validate()Test a string to see if it is a valid UUID
uuid.version()Detect RFC version of a UUID

API

uuid.NIL

The nil UUID string (all zeros).

Example:

import { NIL as NIL_UUID } from 'uuid';

NIL_UUID; // ⇨ '00000000-0000-0000-0000-000000000000'

uuid.MAX

The max UUID string (all ones).

Example:

import { MAX as MAX_UUID } from 'uuid';

MAX_UUID; // ⇨ 'ffffffff-ffff-ffff-ffff-ffffffffffff'

uuid.parse(str)

Convert UUID string to array of bytes

strA valid UUID String
returnsUint8Array[16]
throwsTypeError if str is not a valid UUID

[!NOTE] Ordering of values in the byte arrays used by parse() and stringify() follows the left ↠ right order of hex-pairs in UUID strings. As shown in the example below.

Example:

import { parse as uuidParse } from 'uuid';

// Parse a UUID
uuidParse('6ec0bd7f-11c0-43da-975e-2a8ad9ebae0b'); // ⇨
// Uint8Array(16) [
//   110, 192, 189, 127,  17,
//   192,  67, 218, 151,  94,
//    42, 138, 217, 235, 174,
//    11
// ]

uuid.stringify(arr[, offset])

Convert array of bytes to UUID string

arrArray-like collection of 16 values (starting from offset) between 0-255.
[offset = 0]Number Starting index in the Array
returnsString
throwsTypeError if a valid UUID string cannot be generated

[!NOTE] Ordering of values in the byte arrays used by parse() and stringify() follows the left ↠ right order of hex-pairs in UUID strings. As shown in the example below.

Example:

import { stringify as uuidStringify } from 'uuid';

const uuidBytes = Uint8Array.of(
  0x6e,
  0xc0,
  0xbd,
  0x7f,
  0x11,
  0xc0,
  0x43,
  0xda,
  0x97,
  0x5e,
  0x2a,
  0x8a,
  0xd9,
  0xeb,
  0xae,
  0x0b
);

uuidStringify(uuidBytes); // ⇨ '6ec0bd7f-11c0-43da-975e-2a8ad9ebae0b'

uuid.v1([options[, buffer[, offset]]])

Create an RFC version 1 (timestamp) UUID

[options]Object with one or more of the following properties:
[options.node = (random) ]RFC "node" field as an Array[6] of byte values (per 4.1.6)
[options.clockseq = (random)]RFC "clock sequence" as a Number between 0 - 0x3fff
[options.msecs = (current time)]RFC "timestamp" field (Number of milliseconds, unix epoch)
[options.nsecs = 0]RFC "timestamp" field (Number of nanoseconds to add to msecs, should be 0-10,000)
[options.random = (random)]Array of 16 random bytes (0-255) used to generate other fields, above
[options.rng]Alternative to options.random, a Function that returns an Array of 16 random bytes (0-255)
[buffer]Uint8Array or Uint8Array subtype (e.g. Node.js Buffer). If provided, binary UUID is written into the array, starting at offset
[offset = 0]Number Index to start writing UUID bytes in buffer
returnsUUID String if no buffer is specified, otherwise returns buffer
throwsError if more than 10M UUIDs/sec are requested

Example:

import { v1 as uuidv1 } from 'uuid';

uuidv1(); // ⇨ '57fd0000-c7d3-11ef-841d-514d2167fc5b'

Example using options:

import { v1 as uuidv1 } from 'uuid';

const options = {
  node: Uint8Array.of(0x01, 0x23, 0x45, 0x67, 0x89, 0xab),
  clockseq: 0x1234,
  msecs: new Date('2011-11-01').getTime(),
  nsecs: 5678,
};
uuidv1(options); // ⇨ '710b962e-041c-11e1-9234-0123456789ab'

uuid.v1ToV6(uuid)

Convert a UUID from version 1 to version 6

import { v1ToV6 } from 'uuid';

v1ToV6('92f62d9e-22c4-11ef-97e9-325096b39f47'); // ⇨ '1ef22c49-2f62-6d9e-97e9-325096b39f47'

uuid.v3(name, namespace[, buffer[, offset]])

Create an RFC version 3 (namespace w/ MD5) UUID

API is identical to v5(), but uses "v3" instead.

[!IMPORTANT] Per the RFC, "If backward compatibility is not an issue, SHA-1 [Version 5] is preferred."

uuid.v4([options[, buffer[, offset]]])

Create an RFC version 4 (random) UUID

[options]Object with one or more of the following properties:
[options.random]Array of 16 random bytes (0-255)
[options.rng]Alternative to options.random, a Function that returns an Array of 16 random bytes (0-255)
[buffer]Uint8Array or Uint8Array subtype (e.g. Node.js Buffer). If provided, binary UUID is written into the array, starting at offset
[offset = 0]Number Index to start writing UUID bytes in buffer
returnsUUID String if no buffer is specified, otherwise returns buffer

Example:

import { v4 as uuidv4 } from 'uuid';

uuidv4(); // ⇨ 'b18794e8-5d0d-417c-b361-ba38e78411b4'

Example using predefined random values:

import { v4 as uuidv4 } from 'uuid';

const v4options = {
  random: Uint8Array.of(
    0x10,
    0x91,
    0x56,
    0xbe,
    0xc4,
    0xfb,
    0xc1,
    0xea,
    0x71,
    0xb4,
    0xef,
    0xe1,
    0x67,
    0x1c,
    0x58,
    0x36
  ),
};
uuidv4(v4options); // ⇨ '109156be-c4fb-41ea-b1b4-efe1671c5836'

uuid.v5(name, namespace[, buffer[, offset]])

Create an RFC version 5 (namespace w/ SHA-1) UUID

nameString | Array
namespaceString | Array[16] Namespace UUID
[buffer]Uint8Array or Uint8Array subtype (e.g. Node.js Buffer). If provided, binary UUID is written into the array, starting at offset
[offset = 0]Number Index to start writing UUID bytes in buffer
returnsUUID String if no buffer is specified, otherwise returns buffer

[!NOTE] The RFC DNS and URL namespaces are available as v5.DNS and v5.URL.

Example with custom namespace:

import { v5 as uuidv5 } from 'uuid';

// Define a custom namespace.  Readers, create your own using something like
// https://www.uuidgenerator.net/
const MY_NAMESPACE = '1b671a64-40d5-491e-99b0-da01ff1f3341';

uuidv5('Hello, World!', MY_NAMESPACE); // ⇨ '630eb68f-e0fa-5ecc-887a-7c7a62614681'

Example with RFC URL namespace:

import { v5 as uuidv5 } from 'uuid';

uuidv5('https://www.w3.org/', uuidv5.URL); // ⇨ 'c106a26a-21bb-5538-8bf2-57095d1976c1'

uuid.v6([options[, buffer[, offset]]])

Create an RFC version 6 (timestamp, reordered) UUID

This method takes the same arguments as uuid.v1().

import { v6 as uuidv6 } from 'uuid';

uuidv6(); // ⇨ '1efc7d35-7fd0-6000-841d-504d2167fc5b'

Example using options:

import { v6 as uuidv6 } from 'uuid';

const options = {
  node: [0x01, 0x23, 0x45, 0x67, 0x89, 0xab],
  clockseq: 0x1234,
  msecs: new Date('2011-11-01').getTime(),
  nsecs: 5678,
};
uuidv6(options); // ⇨ '1e1041c7-10b9-662e-9234-0123456789ab'

uuid.v6ToV1(uuid)

Convert a UUID from version 6 to version 1

import { v6ToV1 } from 'uuid';

v6ToV1('1ef22c49-2f62-6d9e-97e9-325096b39f47'); // ⇨ '92f62d9e-22c4-11ef-97e9-325096b39f47'

uuid.v7([options[, buffer[, offset]]])

Create an RFC version 7 (random) UUID

[options]Object with one or more of the following properties:
[options.msecs = (current time)]RFC "timestamp" field (Number of milliseconds, unix epoch)
[options.random = (random)]Array of 16 random bytes (0-255) used to generate other fields, above
[options.rng]Alternative to options.random, a Function that returns an Array of 16 random bytes (0-255)
[options.seq = (random)]32-bit sequence Number between 0 - 0xffffffff. This may be provided to help ensure uniqueness for UUIDs generated within the same millisecond time interval. Default = random value.
[buffer]Uint8Array or Uint8Array subtype (e.g. Node.js Buffer). If provided, binary UUID is written into the array, starting at offset
[offset = 0]Number Index to start writing UUID bytes in buffer
returnsUUID String if no buffer is specified, otherwise returns buffer

Example:

import { v7 as uuidv7 } from 'uuid';

uuidv7(); // ⇨ '01941f29-7c00-73e4-a310-744d2167fc5b'

uuid.v8()

"Intentionally left blank"

[!NOTE] Version 8 (experimental) UUIDs are "for experimental or vendor-specific use cases". The RFC does not define a creation algorithm for them, which is why this package does not offer a v8() method. The validate() and version() methods do work with such UUIDs, however.

uuid.validate(str)

Test a string to see if it is a valid UUID

strString to validate
returnstrue if string is a valid UUID, false otherwise

Example:

import { validate as uuidValidate } from 'uuid';

uuidValidate('not a UUID'); // ⇨ false
uuidValidate('6ec0bd7f-11c0-43da-975e-2a8ad9ebae0b'); // ⇨ true

Using validate and version together it is possible to do per-version validation, e.g. validate for only v4 UUIds.

import { version as uuidVersion } from 'uuid';
import { validate as uuidValidate } from 'uuid';

function uuidValidateV4(uuid) {
  return uuidValidate(uuid) && uuidVersion(uuid) === 4;
}

const v1Uuid = 'd9428888-122b-11e1-b85c-61cd3cbb3210';
const v4Uuid = '109156be-c4fb-41ea-b1b4-efe1671c5836';

uuidValidateV4(v4Uuid); // ⇨ true
uuidValidateV4(v1Uuid); // ⇨ false

uuid.version(str)

Detect RFC version of a UUID

strA valid UUID String
returnsNumber The RFC version of the UUID
throwsTypeError if str is not a valid UUID

Example:

import { version as uuidVersion } from 'uuid';

uuidVersion('45637ec4-c85f-11ea-87d0-0242ac130003'); // ⇨ 1
uuidVersion('6ec0bd7f-11c0-43da-975e-2a8ad9ebae0b'); // ⇨ 4

[!NOTE] This method returns 0 for the NIL UUID, and 15 for the MAX UUID.

Command Line

UUIDs can be generated from the command line using uuid.

$ npx uuid
ddeb27fb-d9a0-4624-be4d-4615062daed4

The default is to generate version 4 UUIDS, however the other versions are supported. Type uuid --help for details:

$ npx uuid --help

Usage:
  uuid
  uuid v1
  uuid v3 <name> <namespace uuid>
  uuid v4
  uuid v5 <name> <namespace uuid>
  uuid v7
  uuid --help

Note: <namespace uuid> may be "URL" or "DNS" to use the corresponding UUIDs
defined by RFC9562

options Handling for Timestamp UUIDs

Prior to uuid@11, it was possible for options state to interfere with the internal state used to ensure uniqueness of timestamp-based UUIDs (the v1(), v6(), and v7() methods). Starting with uuid@11, this issue has been addressed by using the presence of the options argument as a flag to select between two possible behaviors:

  • Without options: Internal state is utilized to improve UUID uniqueness.
  • With options: Internal state is NOT used and, instead, appropriate defaults are applied as needed.

Support

Browsers: uuid builds are tested against the latest version of desktop Chrome, Safari, Firefox, and Edge. Mobile versions of these same browsers are expected to work but aren't currently tested.

Node: uuid builds are tested against node (LTS releases), plus one prior. E.g. At the time of this writing node@20 is the "maintenance" release and node@24 is the "current" release, so uuid supports node@20-node@24.

Typescript: TS versions released within the past two years are supported. source

Known issues

"getRandomValues() not supported"

This error occurs in environments where the standard crypto.getRandomValues() API is not supported. This issue can be resolved by adding an appropriate polyfill:

React Native / Expo

  1. Install react-native-get-random-values
  2. Import it before uuid. Since uuid might also appear as a transitive dependency of some other imports it's safest to just import react-native-get-random-values as the very first thing in your entry point:
import 'react-native-get-random-values';
import { v4 as uuidv4 } from 'uuid';

Generated from README_js.md by runmd