예측 가능한 난수

위험도: 낮음 CWE-338 OWASP A02:2021 Cryptographic Failures rule: weak_random

왜 위험한가요

rand(), mt_rand(), uniqid()는 예측할 수 있습니다. 비밀번호 재설정, 세션, CSRF 토큰은 반드시 암호학적으로 안전한 난수로 만들어야 합니다.

✕ 취약한 코드

$token = uniqid();

✓ 안전한 코드

$token = bin2hex(random_bytes(32));

토큰이나 비밀값에는 random_bytes()나 random_int()를 쓰세요.

내 코드 검사하기

파일을 붙여넣으면 이 규칙에 걸리는 줄을 모두 찾아드립니다.