Zayıf rastgelelik (ARCH3115)

Anahtar typescript.security.weak-random · Önem warning · Kategori security · CWE CWE-338

Token, anahtar, salt veya oturum kimliği gibi güvenlik hassas değerler için Math.random() gibi kriptografik olmayan bir PRNG kullanmak, değerlerin tahmin edilebilmesine yol açar.

Hatalı

function makeToken(): string {
  // Math.random kriptografik olarak güvenli değil
  return Math.random().toString(36).slice(2);
}

Doğru

import { randomBytes } from "crypto";

function makeToken(): string {
  return randomBytes(32).toString("hex");
}

Düzeltme

Güvenlik hassas değerler için crypto.randomBytes gibi kriptografik olarak güvenli bir kaynak kullanın.