Zayıf rastgelelik (ARCH2115)

Anahtar python.security.weak-random · Önem warning · Kategori security · CWE CWE-338

random modülü öngörülebilirdir; token, anahtar, salt veya oturum kimliği gibi güvenlik açısından kritik değerler için kullanılmamalıdır. secrets modülünü kullanın.

Hatalı

import random
import string

def make_token():
    return "".join(random.choice(string.ascii_letters) for _ in range(32))

Doğru

import secrets

def make_token():
    return secrets.token_urlsafe(32)

Düzeltme

Güvenlik açısından kritik değerler için secrets veya os.urandom gibi kriptografik PRNG kullanın.