CA5394：請勿使用不安全的隨機性

發行項
11/14/2023

屬性	值
規則識別碼	CA5394
職稱	請勿使用不安全的隨機性
類別	安全性
修正程式是中斷或非中斷	不中斷
預設在 .NET 9 中啟用	No

原因

叫用的其中一個方法 System.Random 。

檔案描述

使用密碼編譯弱式虛擬亂數產生器，可能會讓攻擊者預測將會產生哪些安全性敏感性值。

如何修正違規

如果您需要安全性的無法預測值，請使用密碼編譯強式隨機數產生器，例如 System.Security.Cryptography.RandomNumberGenerator 或 System.Security.Cryptography.RNGCryptoServiceProvider。

隱藏警告的時機

如果您確定弱式虛擬隨機數不會以安全性敏感性方式使用，則隱藏此規則的警告是安全的。

隱藏警告

如果您只想要隱藏單一違規，請將預處理器指示詞新增至原始程式檔以停用，然後重新啟用規則。

#pragma warning disable CA5394
// The code that's violating the rule is on this line.
#pragma warning restore CA5394

若要停用檔案、資料夾或項目的規則，請在組態檔中將其嚴重性設定為。none

[*.{cs,vb}]
dotnet_diagnostic.CA5394.severity = none

如需詳細資訊，請參閱如何隱藏程式代碼分析警告。

虛擬程式代碼範例

違規

using System;

class ExampleClass
{
    public void ExampleMethod(Random random)
    {
        var sensitiveVariable = random.Next();
    }
}

解決方案

using System;
using System.Security.Cryptography;

class ExampleClass
{
    public void ExampleMethod(int toExclusive)
    {
        var sensitiveVariable = RandomNumberGenerator.GetInt32(toExclusive);
    }
}

共用方式為