生成安全的随机数（生成随机数的安全方法）

0x01：生产随机数的方式

• Math.random()0到1之间随机数
• java.util.Random伪随机数（线性同余法生成）
• java.security.SecureRandom真随机数
• java.util.concurrent.ThreadLocalRandom每一个线程有一个独立的随机数生成器

0x02：Math.random()

Math.random()产生的随机数是在0 到1之间的一个double类型的随机数，即 0 <= random <= 1

例子

public static void main(String[] args) {
 for(int i=0; i<10; i++){
 System.out.println(Math.random());
 }
 }

结果

0.5561869175342243
0.8640888835150414
0.292814731626831
0.9873548780247475
0.32392504190968197
0.023230111447818613
0.7911879389548253
0.6453078158805755
0.8255443940742907
0.0476070934096563

看下图

从源码分析发现，调用Math.random()方法时，自动创建了一个伪随机数生成器，实际上用的是new java.util.Random()。

0x03：java.util.Random伪随机数

java.util.Random采用线性同余法伪随机数生成器（linear congruential pseudorandom number generator [简称LGC]），所以该随机数具有可预测性的缺点。在注重信息安全的应用中，不要使用 LCG 算法生成随机数，请使用 java.security.SecureRandom。

例子

public static void main(String[] args) {
 Random random = new Random();
 for(int i=0; i<10; i++){
 System.out.println(random.nextInt());
 }
 }

结果

-932663432
-1051420847
-170246550
1965458676
-2018336206
1399734206
1142954832
-1274289135
918821980
-537649235

java.util.Random类默认使用当前系统时钟作为种子

Random类提供的方法：

• java.util.nextBoolean() - 返回均匀分布的 true 或者 false
• nextBytes(byte[] bytes)
• nextDouble() - 返回 0.0 到 1.0 之间的均匀分布的 double，Math.random() 调用的就是该方法
• nextFloat() - 返回 0.0 到 1.0 之间的均匀分布的 float
• nextGaussian() - 返回 0.0 到 1.0 之间的高斯分布（即正态分布）的 double
• nextInt() - 返回均匀分布的 int
• nextInt(int n) - 返回 0 到 n 之间的均匀分布的 int （包括 0，不包括 n）
• nextLong() - 返回均匀分布的 long
• setSeed(long seed) - 设置种子

另外只要种子一样，产生的随机数也一样； 因为种子确定，随机数算法也就确定了，所以输出是确定的。

例子

public static void main(String[] args) {
 Random random1 = new Random(1000);
 Random random2 = new Random(1000);
 for(int i=0; i<10; i++){
 System.out.println("random1 = "+ random1.nextInt()
 + ", random2 = "+ random2.nextInt());
 }
 }

结果

random1 = -1244746321, random2 = -1244746321
random1 = 1060493871, random2 = 1060493871
random1 = -1826063944, random2 = -1826063944
random1 = 1976922248, random2 = 1976922248
random1 = -230127712, random2 = -230127712
random1 = 68408698, random2 = 68408698
random1 = 169247282, random2 = 169247282
random1 = -735843605, random2 = -735843605
random1 = 2089114528, random2 = 2089114528
random1 = 1533708900, random2 = 1533708900

0x04：java.security.SecureRandom真随机数

java.Security.SecureRandom继承java.util.Random，操作系统收集了一些随机事件，比如鼠标点击、键盘点击等，java.Security.SecureRandom使用这些随机事件作为种子。

SecureRandom 提供加密的强随机数生成器（This class provides a cryptographically strong random number generator [RNG]），要求种子必须是不可预知的，产生非确定性输出。SecureRandom 也提供了与实现无关的算法，因此调用方（应用程序代码）会请求特定的 RNG 算法并将它传回到该算法的 SecureRandom 对象中。

• 如果仅指定算法名称，如下所示：

SecureRandom random = SecureRandom.getInstance("SHA1PRNG");

• 如果既指定了算法名称又指定了包提供程序，如下所示：

SecureRandom random = SecureRandom.getInstance("SHA1PRNG", "SUN");

例子一

public static void main(String[] args) {
 SecureRandom random1 = new SecureRandom();
 SecureRandom random2 = new SecureRandom();
 for(int i=0; i<10; i++){
 System.out.println("random1 = "+ random1.nextInt()
 + ", random2 = "+ random2.nextInt());
 }
 }

结果

random1 = -2132909245, random2 = 1721111490
random1 = 1878066989, random2 = 331714565
random1 = 570084968, random2 = 270567587
random1 = -369271183, random2 = -2099748127
random1 = -1588034927, random2 = 716208447
random1 = 1272448595, random2 = -1076872105
random1 = 651517544, random2 = -412298117
random1 = 599063484, random2 = 990299359
random1 = 1327006915, random2 = -1678337338
random1 = 1555188183, random2 = -1062601998

例子二

public static void main(String[] args) {
 try {
 SecureRandom random1 = SecureRandom.getInstance("SHA1PRNG");
 SecureRandom random2 = SecureRandom.getInstance("SHA1PRNG");
 for (int i = 0; i < 5; i++) {
 System.out.println(random1.nextInt() + " != " + random2.nextInt());
 }
 } catch (NoSuchAlgorithmException e) {
 e.printStackTrace();
 }
 }

结果

-65146125 != -293869330
602260319 != 236779048
-313979165 != -450531309
1647234976 != 1324919270
1080689624 != 1189679018

0x05：java.util.concurrent.ThreadLocalRandom每一个线程有一个独立的随机数生成器

ThreadLocalRandom 是 JDK 7 之后提供的，继承 java.util.Random。每一个线程有一个独立的随机数生成器，用于并发产生随机数，能够解决多个线程发生的竞争争夺，效率更高。

ThreadLocalRandom 不是直接用 new 实例化，而是第一次使用其静态方法 current() 得到 ThreadLocal<ThreadLocalRandom> 实例，然后调用 java.util.Random 类提供的方法获得各种随机数。

例子

public static void main(String[] args) {
 for (int i = 0; i < 5; i++) {
 System.out.println(ThreadLocalRandom.current().nextDouble());
 }
 }

结果

0.1203480287115829
0.5205724433165335
0.5543373628235388
0.3320090877996178
0.5277150915439681

可以关注个人公众号： java乐园