小编D.P*_*TIT的帖子

我需要创建一个临时文件并将一些数据存储到其中。为此，我编写了以下代码：

import org.apache.commons.lang.RandomStringUtils;
import java.security.SecureRandom;

[...]

String random = RandomStringUtils.random(10, 0, 0, true, true, null, new SecureRandom());
File tempFile = File.createTempFile("PREFIX-" + random, ".pdf");

[...]

它确实工作得很好，但是当我将此代码提交给Veracode 时，出现“不安全的临时文件（CWE ID 377）”错误。我认为使用SecureRandom会使临时文件名无法被攻击者预测。

在不使 Veracode 不满意的情况下生成临时文件的正确方法是什么？

我创建了一个使用org.apache.commons.lang.RandomStringUtils生成随机单词(字母数字)的类.

    public String randomWord(int wordLength) {
        return RandomStringUtils.random(wordLength, 0, 0, true, true, null, new SecureRandom());
    }

这段代码工作正常,但是当我把它提交给Veracode时,我得到一个中等错误"Insufficient Entropy(CWE ID 331)"

我认为使用SecureRandom足以修复此错误,但事实并非如此,我不知道为什么.

为什么使用SecureRandom不够好或不够安全？
有没有办法使用org.apache.commons.lang.RandomStringUtils而不会让Veracode不开心？是否有任何其他安全库可用于生成安全的随机字母数字单词？