可预测的随机数

严重程度: 低 CWE-338 OWASP A02:2021 Cryptographic Failures rule: weak_random

为什么危险

rand()、mt_rand() 和 uniqid() 都可被预测。密码重置、会话或 CSRF 令牌必须使用密码学安全的随机源。

✕ 有漏洞的写法

$token = uniqid();

✓ 安全的写法

$token = bin2hex(random_bytes(32));

令牌和密钥请使用 random_bytes() 或 random_int()。

扫描我的代码

粘贴文件，PHP Safe 会指出所有符合此规则的代码行。