在許多應用程序中,您需要隨機數(shù)。您可能需要在視頻游戲中擲骰子,創(chuàng)建私有加密密鑰或創(chuàng)建用戶的臨時密碼。
所有這些應用程序都依賴于隨機數(shù)的創(chuàng)建。有時很難區(qū)分何時使用什么,而安全性是一個深刻的話題。如果不花幾年時間深入研究它,就很難快速理解有關(guān)可用實現(xiàn)的文檔,并為您的用例選擇正確的方法。
因此,在本教程中,我將總結(jié)突出的用例以及如何根據(jù)您的 Java 代碼選擇性能最佳的實現(xiàn)。
在本文中,您將了解:
如何生成整數(shù)、浮點數(shù)和布爾值,
如何為性能關(guān)鍵型用例生成隨機數(shù),
如何為安全關(guān)鍵用例生成隨機數(shù),
數(shù)字生成器的工作原理,
偽隨機數(shù)生成器和真隨機數(shù)生成器之間的差異,
如何利用種子對你有利。
所有代碼示例都是最小的,您可以在GitHub上找到完整的源代碼。
數(shù)學約束隨機()
Math.random甚至在Java 6之前就已經(jīng)存在了。它易于訪問,并且仍然被廣泛使用。在 Java 17 中,可以使用一個名為的新通用接口,該接口整合了當前 Java SDK 中的所有隨機生成器實現(xiàn)。RandomGenerator
Math.random()如今,只需將 權(quán)限委派給 .但是,它只返回一個 .因此,它不允許您請求不同類型的數(shù)字或在范圍之間生成數(shù)字。它也不允許你從不同的實現(xiàn)中進行選擇。Random().nextFloat()double
在以下各節(jié)中,您將了解更靈活的數(shù)字生成,并了解如何生成針對效率或安全性進行優(yōu)化的數(shù)字。
自 Java 17 以來的通用接口
在 Java 17 中,通用接口由 Java SDK 中的可用數(shù)字生成器實現(xiàn)。您可以使用適用于所有基本數(shù)據(jù)類型的方法,并且可以定義要為其生成數(shù)字的預期范圍:
單線程環(huán)境中的性能優(yōu)化隨機數(shù)生成
對于許多與安全無關(guān)的情況,您并不關(guān)心隨機數(shù)的可預測性。通常,您只想擁有可靠的分布。
與應用程序是單線程時可用的實現(xiàn)相比,性能更高的實現(xiàn)。一種非常有效的替代方案稱為:RandomSplittableRandom
new SplittableRandom().nextInt();
在 MacBook Pro 上執(zhí)行的比較“可拆分隨機”和“隨機”的基準測試顯示以下結(jié)果:
SplittableRandom執(zhí)行速度比在單線程環(huán)境中快 5 倍。Random
其他優(yōu)點是確定性行為和可拆分的分叉/連接實現(xiàn)。總而言之,您應該更喜歡在單線程環(huán)境中使用。Random()SplittableRandomRandom
多線程環(huán)境中的性能優(yōu)化隨機數(shù)生成
高吞吐量應用程序利用多個線程。因此,您希望使用用于并行使用的數(shù)字生成器。
的實現(xiàn)是線程安全的,但相對較慢,并且由于鎖定而減慢得更多。因為不是線程安全的,所以這里不是替代方案。RandomSplittableRandom
但是,通過在多線程環(huán)境中使用,可以獲得更好的性能。它使用 ,但確保在多個線程中高性能且安全的使用:ThreadLocalRandomSplittableRandom
ThreadLocalRandom.current().nextInt();
在 MacBook Pro 上執(zhí)行的基準測試使用 10 個線程比較線程本地隨機數(shù)和隨機生成數(shù),顯示以下結(jié)果:
如您所見,使用速度提高了425倍。 是無鎖的,因此比線程安全類的性能更高。ThreadLocalRandomThreadLocalRandomRandom
安全優(yōu)化的隨機數(shù)生成
我們剛才討論的方法對于您的大多數(shù)應用程序來說都是快速且足夠的。但是,他們正在創(chuàng)建所謂的偽隨機生成的數(shù)字。
他們不是總是創(chuàng)建一個真正的隨機數(shù),而是根據(jù)先前預測的數(shù)字預測一個新數(shù)字,這伴隨著一個狀態(tài)和嚴重的可預測性問題。
也許您想為加密創(chuàng)建長期存在的機密,并且您不希望其他人能夠預測下一個生成的令牌。
在Java中,對于更多與安全性相關(guān)的用例::SecureRandom
SecureRandom.getInstanceStrong().nextInt();
SecureRandom.getInstanceStrong()為您提供一個提供程序,用于創(chuàng)建安全令牌。在許多 Linux 系統(tǒng)中,您使用 ,根據(jù)真實設(shè)備的隨機噪聲生成數(shù)字。/dev/random
但是,如果您沒有收集足夠的隨機數(shù)據(jù),即所謂的缺失熵,則執(zhí)行可能會阻塞并花費意外的長時間。特別是在具有大量 Docker 容器的機器中,這可能會導致在實踐中執(zhí)行緩慢。
作為替代方法,在沒有熵可用的情況下,默認情況下不阻塞。它還使用不太安全的數(shù)字生成方式作為回退。new SecureRandom()
如何利用種子發(fā)揮您的優(yōu)勢
默認情況下,偽數(shù)生成器使用隨機種子,該種子反映用于生成值的起始值。因此,種子對于測試非常方便,因為它使您可以控制預測并允許您重置數(shù)字的創(chuàng)建方式。
到目前為止,我們還沒有談論過與種子有關(guān)的任何事情。
這使得測試變得容易得多。否則,您需要始終模擬依賴項。
為什么數(shù)字生成很難
了解為什么數(shù)字生成很難獲得安全感至關(guān)重要。
工程師編寫代碼,最終編譯成在實際處理單元(CPU)中執(zhí)行的機器可讀代碼。CPU建立在電子電路上,電子電路由邏輯門組成。
長話短說,沒有真正的隨機性,你可以用傳統(tǒng)計算機創(chuàng)建,因為輸出需要一些輸入,根據(jù)定義,這不可能是隨機的。
這意味著您需要來自現(xiàn)實世界的某種真正的隨機輸入,例如來自電阻器的熱噪聲。有一些昂貴的硬件數(shù)字生成器使用現(xiàn)實世界的物理原理來為您提供大量的隨機數(shù)創(chuàng)建容量。
不安全隨機數(shù)生成的風險
盡管許多協(xié)議在設(shè)計上是安全的,但如果攻擊者可以預測加密密鑰,則它們不是。
如今,許多應用程序都需要在幕后生成真正的隨機數(shù)。否則,攻擊者可能能夠預測生成的數(shù)字,并通過這樣做滲透到應用程序中。
例如,如果攻擊者突然可以立即解決加密問題,那么基于量子計算的安全相關(guān)處理突破可能是一個真正的威脅。
在這篇博客文章中,您學習了如何在 Java 中有效地生成數(shù)字。您還學習了如何優(yōu)化性能或安全性,并了解了種子是什么以及如何使用它。
此外,您現(xiàn)在應該了解偽生成數(shù)和真隨機生成數(shù)之間的主要區(qū)別,并且應該能夠描述為什么安全隨機數(shù)生成很重要。