确保在此处使用此伪随机数生成器是安全的

Question

当我声明一个变量时，比如：

const FileId = Math.random().toString(36).substr(2, 9);

我得到这个错误在声纳：

确保在此处使用此伪随机数生成器是安全的。

我应该如何解决这个问题？我的代码有什么问题？

有人能帮我吗？

Answer 1

他们想提醒你一个事实，那就是数学。random不是真正的随机生成器，而是PRNG。如果你需要这个来保证安全，你需要一个CSPRNG。

这是说明书

使用伪随机数生成器（PRNG）是安全敏感的

当软件在要求不可预测性的上下文中生成可预测值时，攻击者可能会猜测将生成的下一个值，并利用该猜测来冒充另一个用户或访问敏感信息。

由于Math.random（）函数依赖于弱的伪随机数生成器，因此不应将此函数用于安全关键型应用程序或保护敏感数据。在这种情况下，应该使用密码学强的伪随机数生成器（CSPRNG）来代替。

问问自己是否

• 使用生成值的代码要求它是不可预测的。所有加密机制都是如此，或者当秘密值（如密码）被散列时也是如此。
• 您使用的函数生成一个可以预测的值（伪随机）。
• 生成的值被多次使用。
• 攻击者可以访问生成的值。

如果您对第一个问题和以下任何一个问题的回答是肯定的，您将面临风险。

代码示例

const crypto = window.crypto || window.msCrypto;
var array = new Uint32Array(1);
crypto.getRandomValues(array); // Compliant for security-sensitive use cases
const FileId = array[0];
console.log(FileId);