Zayıf rastgelelik (ARCH7115)

Anahtar php.security.weak-random · Önem warning · Kategori security · CWE CWE-338

rand() veya mt_rand() gibi kriptografik olmayan üreteçler tahmin edilebilirdir. Token, parola sıfırlama anahtarı, salt veya oturum kimliği gibi değerler için kullanılmaları saldırganların bu değerleri tahmin etmesine olanak tanır.

Hatalı

<?php
$token = '';
for ($i = 0; $i < 16; $i++) {
    $token .= dechex(mt_rand(0, 15));
}

Doğru

<?php
$token = bin2hex(random_bytes(16));

Düzeltme

Güvenlik açısından hassas değerler için mt_rand() yerine kriptografik olarak güvenli random_bytes() veya random_int() kullanın.