jdk默认random的安全替代方案

最新推荐文章于 2023-08-25 11:10:50 发布

原创

最新推荐文章于 2023-08-25 11:10:50 发布 · 置顶 · 1.9k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#WEB安全

默认的JDK Random生成的随机数可能存在安全风险，适合于对安全性要求较高的金融系统。推荐使用优化的非阻塞算法PRNG，如SHA-1的替代方案，以增强随机性和安全性。该算法线程安全，可以通过调整播种大小来平衡随机性与内存使用。通过不断增量替换种子以确保随机性不会降低。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

默认random的随机数生成方案经官方测试是不够随机的，并有安全暴力猜测的安全风险，对于安全较高，并且吞吐量要求较低的一般性金融类系统，推荐使用。实现源码如下：

默认是SHA1的算法，我换成了稍稍优化的非阻塞算法PRNG，这也是官方推荐的

SHA-1应该是不安全的，贴一篇博文有兴趣的可以看一下

https://www.cnblogs.com/merlindu/p/6545588.html

工具线程安全，内部加锁，有兴趣的同学可以使用原子引用优化阻塞锁，以及相关内存等，这里主要关注安全

import lombok.extern.slf4j.Slf4j;
import org.springframework.util.StringUtils;

import java.security.SecureRandom;

/**
 * @date 19-4-25
 * @auther jackliang
 * @description TODO
 */
@Slf4j
public class SecurityRandomUtils {

    private static SecureRandom secureInstance          =                    null;

    private static final int WIND_POS                   =               (2 << 9) >> 3;

    private static final int NUMBER_BYTES               =                      10;

    private static final String SHA_TAGS                = "NativePRNG