securerandom.source与java.security.egd的Java系统属性差异解析

除了Java基础系统属性列表外，很难找到完整的Java系统属性清单，本文重点解析securerandom.source和java.security.egd这两个属性的区别。

测试验证（JDK 17环境） #

执行以下Java代码：

System.out.println("Secure random source: " + Security.getProperty("securerandom.source"));
System.out.println("java.security.egd: " + System.getProperty("java.security.egd"));

输出结果：

Secure random source: file:/dev/random
java.security.egd: null

同时，NativePRNG是当前JDK默认的随机数算法，执行以下代码可验证：

SecureRandom secureRandom = new SecureRandom();
System.out.println("Algorithm: " + secureRandom.getAlgorithm());

输出结果：

Algorithm: NativePRNG

官方文档说明 #

JDK 11和JDK 17的官方文档均表明file:/dev/random已是securerandom.source的默认值，无需手动设置，且文档提到：

如果java.security中的熵收集设备设置为file:/dev/urandom或file:/dev/random，则优先使用NativePRNG而非SHA1PRNG

JDK 8的安全增强文档提到：

SHA1PRNG和NativePRNG已修复，可正确遵循java.security文件中的SecureRandom种子源属性。不再需要使用file:///dev/urandom和file:/dev/./urandom这类晦涩的解决方案

早期Tomcat官方文档（最后编辑于2017年）曾提到：

可通过设置系统属性-Djava.security.egd=file:/dev/./urandom，配置JRE使用非阻塞熵源

核心差异解析 #

1. 配置体系与读取方式不同 #

• securerandom.source是安全属性，属于Java安全配置体系，需通过Security.getProperty()读取，默认值定义在JRE的java.security配置文件中，是全局的安全基础配置。
• java.security.egd是系统属性，属于JVM启动参数体系，需通过System.getProperty()读取，默认值为null，仅当通过-Djava.security.egd=xxx手动指定后才会生效。

2. 作用场景与优先级 #

• securerandom.source是SecureRandom底层算法（如NativePRNG、SHA1PRNG）的默认熵源配置，现代JDK中算法会优先遵循该配置获取熵源。
• java.security.egd是旧版JDK（JDK 8之前）的遗留方案：当时SHA1PRNG存在熵源读取逻辑问题，无法正确识别securerandom.source的配置，因此需要通过该系统属性强制指定熵源。JDK 8修复该问题后，该属性的作用已被securerandom.source替代，无需再手动设置。

3. 适用版本 #

• securerandom.source在所有现代JDK版本中都是标准推荐的熵源配置方式。
• java.security.egd仅在JDK 8之前的版本中可能需要使用，现代JDK（JDK 8及以后）中已无必要手动配置，默认的securerandom.source即可满足需求。

内容的提问来源于stack exchange，提问作者Paul Verest on LinkedIn