Я пытаюсь создать случайную строку, используя диапазон допустимых символов. У меня есть рабочая реализация, которая приведена ниже, но я хотел знать, подвергает ли логика преобразования случайного байта печатаемому персонажу любому риску или непреднамеренно раскрывает другие внутренние состояния. Я сохранил количество доступных символов как число, равномерно делящееся на 256, чтобы предотвратить неравномерное смещение в сгенерированной строке.
using System.Security.Cryptography;
class Example {
static readonly char[] AvailableCharacters = {
'A', 'B', 'C', 'D', 'E', 'F', 'G', 'H', 'I', 'J', 'K', 'L', 'M',
'N', 'O', 'P', 'Q', 'R', 'S', 'T', 'U', 'V', 'W', 'X', 'Y', 'Z',
'a', 'b', 'c', 'd', 'e', 'f', 'g', 'h', 'i', 'j', 'k', 'l', 'm',
'n', 'o', 'p', 'q', 'r', 's', 't', 'u', 'v', 'w', 'x', 'y', 'z',
'0', '1', '2', '3', '4', '5', '6', '7', '8', '9', '-', '_'
};
internal static string GenerateIdentifier(int length) {
char[] identifier = new char[length];
byte[] randomData = new byte[length];
using (RNGCryptoServiceProvider rng = new RNGCryptoServiceProvider()) {
rng.GetBytes(randomData);
}
for (int idx = 0; idx < identifier.Length; idx++) {
int pos = randomData[idx] % AvailableCharacters.Length;
identifier[idx] = AvailableCharacters[pos];
}
return new string(identifier);
}
}
Запуск вышеуказанного образца кода 10 раз с длиной 40 дает мне следующий результат:
hGuFJjrr6xuuRDaOzJjaltL-ig09NNzbbvm2CyZG
BLcMF-xcKjmFr5fO-yryx8ZUSSRyXcTQcYRp4m1N
ARfPJhjENPxxAxlRaMBK-UFWllx_R4nT0glvQLXS
7r7lUVcCkxG4ddThONWkTJq0IOlHzzkqHeMi4ykU
TMwTRFORVYCLYc8iWFUbfZWG1Uk2IN35IKvGR0zX
hXNADtfnX4sjKdCgmvZUqdaXSFEr_c_mNB3HUcax
-3nvJyou8Lc-a0limUUZYRScENOoCoN9qxHMUs9Y
bQPmVvsEjx0nVyG0nArey931Duu7Pau923lZUnLp
b8DUUu6Rl0VwbH8jVTqkCifRJHCP3o5oie8rFG5J
HuxF8wcvHLpiGXedw8Jum4iacrvbgEWmypV6VTh-
Вопрос, который, я думаю, я спрашиваю, является ли этот код относительно безопасным для использования или это действительно, действительно плохая идея? Конечные пользователи никогда не видят этот идентификатор, а срок службы очень короткий.
Дополнительная информация
В попытке более подробно описать использование идентификатора предполагаемое использование должно использоваться в качестве ключа для короткоживущего запроса, используемого для передачи информации из одного приложения в другое, стороннюю систему. Поскольку данные должны проходить через (ненадежный) пользовательский браузер, мы сохраняем фактическую информацию отчета в базе данных и генерируем этот идентификатор для целевого приложения, чтобы иметь возможность собирать и удалять эту информацию из базы данных.
Поскольку целевая информация находится в сторонней системе, находящейся за пределами нашего контроля (мудрая разработка, все еще на месте), и мы не можем напрямую аутентифицировать наших пользователей против сторонней системы, этот токен предназначен для пользователя для идентификации и для запуска отчета с информацией, хранящейся в базе данных. Сам отчет должен быть открыт для общественности (в Интернете) без проверки подлинности (поскольку большинство наших пользователей не имеют учетной записи в сторонней системе), и поскольку отчет касается данных HIPAA/FERPA, мы хотели бы обеспечить как можно больше мы можем, даже с идентификатором в атакующих контролировать, что они не могут генерировать действительный запрос.
