通过

CA5394:请勿使用不安全的随机性

  • 项目
属性 值
规则 ID CA5394
标题 请勿使用不安全的随机性
类别 安全性
修复是中断修复还是非中断修复 非中断
在 .NET 9 中默认启用 否

原因

调用了其中一个 System.Random 方法。

规则说明

如果使用加密较弱的伪随机数生成器，攻击者可以预测将要生成的安全敏感值。

如何解决冲突

如果需要不可预测的值以确保安全，请使用 System.Security.Cryptography.RandomNumberGenerator 或 System.Security.Cryptography.RNGCryptoServiceProvider 等加密较强的随机数生成器。

何时禁止显示警告

如果你确定弱伪随机数不是以安全敏感的方式使用，则可禁止显示此规则的警告。

抑制警告

如果只想抑制单个冲突，请将预处理器指令添加到源文件以禁用该规则，然后重新启用该规则。

#pragma warning disable CA5394
// The code that's violating the rule is on this line.
#pragma warning restore CA5394

若要对文件、文件夹或项目禁用该规则，请在配置文件中将其严重性设置为 none。

[*.{cs,vb}]
dotnet_diagnostic.CA5394.severity = none

有关详细信息，请参阅如何禁止显示代码分析警告。

伪代码示例

冲突

using System;

class ExampleClass
{
    public void ExampleMethod(Random random)
    {
        var sensitiveVariable = random.Next();
    }
}

解决方案

using System;
using System.Security.Cryptography;

class ExampleClass
{
    public void ExampleMethod(int toExclusive)
    {
        var sensitiveVariable = RandomNumberGenerator.GetInt32(toExclusive);
    }
}