予測可能な乱数

深刻度: 低 CWE-338 OWASP A02:2021 Cryptographic Failures rule: weak_random

なぜ危険か

rand()、mt_rand()、uniqid()は予測可能です。パスワード再設定、セッション、CSRFのトークンは暗号論的に安全な乱数で作る必要があります。

✕ 脆弱なコード

$token = uniqid();

✓ 安全なコード

$token = bin2hex(random_bytes(32));

トークンや秘密値には random_bytes() か random_int() を。

コードを検査する

ファイルを貼り付けると、このルールに該当する行をすべて示します。