随机数的严重错误

Question

我终于可以创建一种方法来重现我遇到的错误。当 2 个或更多用户同时调用一个页面时，modsecurity 会为两个用户生成相同的随机数序列（使用 php 的 rand() 函数）。

这是一个错误的演示：

http://quemfazsite.com.br/em_criacao/modelo9/teste.php

打开此页面，将加载 2 个 iframe，每个 iframe 都应该相互独立地生成随机数，但两个框架都生成相同的随机数序列！下面可以看到非常简单的源代码。如果您没有看到相同的序列，我会要求您重新加载页面几次，直到您获得相同的数字序列。

编辑：此错误仅在 modsecurity 激活时发生。如果您评论加载 modsecurity 的“LoadModule”行，则不会发生错误！

<?php

if (isset($_GET["test"])) {

        $output= "";

        for ($i=0;$i<10;$i++) {

                $output.= rand(0,99999999) . "<br />";

        }

        echo $output;

        exit();

}

?>
<iframe src="PUT_THE_SAME_NAME_OF_THIS_FILE_HERE.php?test&953487"></iframe>
<iframe src="PUT_THE_SAME_NAME_OF_THIS_FILE_HERE.php?test&234322"></iframe>

Answer 1

rand 不是为生成随机数而设计的。其目的是生成在给定端点之间均匀分布的pseudorandom numbers。如果您将生成的数字制作成直方图，您会发现它们确实是均匀分布的。

生成这些数字的算法是完全确定的。如果您提供相同的种子（通常基于当前时间，如您的示例中所示），您将获得完全相同的数字序列。这是一项功能，而不是错误：它允许您利用分布的统计属性，同时能够通过重用种子来重现结果。

如果您需要随机数不可预测，您应该使用cryptographic RNG。

如果您只是想稳健地避免这样的冲突（由时间衍生种子冲突引起），那么您必须检查某种跨会话存储以确保唯一性（例如文件或数据库）。如果您的应用程序要求数字始终是唯一的，那么无论如何您都应该这样做。