SecureRandom.getInstanceStrong() 与虚拟机的爱恨情仇

问题描述

使用Ruoyi-cloud 二开，将服务部署到虚拟机上后，准备登录，发现验证码一致加载不出来，接口请求超时!

解决步骤

1. telnet 虚拟机ip+port 发现可以通.
2. curl 接口，发现一致不返回，超时了.
3. /code 接口超时，一步一步log，测试后发现在迭代验证码时超时，询问ai.

结论

SecureRandom.getInstancestrong()方法会返回一个"强"随机数生成器，它需要收集足够的系统熵(随机性)才能生成随机数。在某些系统环境下，特别是虚拟机或源不足的服务器上，这个过程可能会阻塞很长时间，等待系统收集足够的随机熵。

学习到的知识

什么是系统熵？

熵源包括：

• 键盘敲击的时间间隔
• 鼠标移动的轨迹和时间
• 硬盘读写的时间差
• 网络数据包到达的时间
• 中断发生的时间
• CPU温度变化
• 内存访问模式
• 系统调用的时间差

Linux系统中的熵：
存储在 /dev/random 和 /dev/urandom 中内核维护一个熵池，收集各种不可预测的事件可以通过 cat /proc/sys/kernel/random/entropy_avail 查看当前可用熵

为什么会阻塞？

熵不足的情况：

• 虚拟机环境：缺少真实硬件的随机性
• 服务器环境：无键盘鼠标交互，硬件活动单一
• 嵌入式设备：硬件资源有限
• 刚启动的系统：还没收集足够的随机事件

SecureRandom.getInstanceStrong() 
→ 要求高质量熵 
→ 熵池不足时等待
→ 系统收集更多随机事件
→ 阻塞直到熵足够

不同随机数生成器的区别

1. new Random()
   伪随机数生成器
   基于算法，可预测
   性能最好，但不安全

2. new SecureRandom()
   使用系统熵，但有后备算法
   熵不足时使用算法扩展
   平衡了安全性和性能

3. SecureRandom.getInstanceStrong()
   要求最高质量的熵
   熵不足时会阻塞等待
   最安全但可能性能很差