如何在TypeScript中不使用Math.random()生成随机数以通过SonarQube检测？

SonarQube标记Math.random()不安全，核心原因是它属于非密码学安全的伪随机数生成器，随机性强度不足且存在可预测性风险，不适合用于安全相关场景。以下是两种符合安全标准、能通过SonarQube检测的实现方案，分别适配浏览器和Node.js环境：

浏览器环境：使用Web Crypto API #

Web Crypto API是浏览器原生提供的密码学安全随机数生成器，完全满足SonarQube的安全要求。

// 生成 [0, 1) 范围内的安全随机浮点数
function secureRandomFloat(): number {
  const randomBuffer = new Uint32Array(1);
  crypto.getRandomValues(randomBuffer);
  // 将32位无符号整数转换为0到1之间的浮点数
  return randomBuffer[0] / (2 ** 32);
}

// 生成 [min, max) 范围内的安全随机整数（无分布偏差）
function secureRandomInt(min: number, max: number): number {
  if (min >= max) {
    throw new Error('min must be less than max');
  }

  const range = max - min;
  const randomBuffer = new Uint32Array(1);
  crypto.getRandomValues(randomBuffer);
  
  // 计算最大有效取值，避免取模导致的分布不均
  const maxValid = Math.floor(2 ** 32 / range) * range;
  let randomValue = randomBuffer[0];
  
  // 循环获取符合范围的随机数
  while (randomValue >= maxValid) {
    crypto.getRandomValues(randomBuffer);
    randomValue = randomBuffer[0];
  }

  return min + (randomValue % range);
}

Node.js环境：使用内置crypto模块 #

Node.js的crypto模块提供了密码学安全的随机数生成能力，无需额外依赖，可直接使用：

import crypto from 'crypto';

// 生成 [0, 1) 范围内的安全随机浮点数
function secureRandomFloat(): number {
  const randomBuffer = crypto.randomBytes(4);
  const uint32Value = randomBuffer.readUInt32BE(0);
  return uint32Value / (2 ** 32);
}

// 生成 [min, max) 范围内的安全随机整数（无分布偏差）
function secureRandomInt(min: number, max: number): number {
  if (min >= max) {
    throw new Error('min must be less than max');
  }

  const range = max - min;
  let uint32Value = crypto.randomBytes(4).readUInt32BE(0);
  
  // 计算最大有效取值，避免分布偏差
  const maxValid = Math.floor(2 ** 32 / range) * range;
  
  while (uint32Value >= maxValid) {
    uint32Value = crypto.randomBytes(4).readUInt32BE(0);
  }

  return min + (uint32Value % range);
}

重要提醒 #

• 不要自行实现伪随机数算法：自定义算法极易出现随机性不足、可预测性等问题，SonarQube仍会标记为风险点。
• 处理范围时避免直接取模：直接使用randomValue % range会导致随机数分布不均，上述代码通过循环过滤超出有效范围的值，保证分布均匀。
• 环境兼容性：Web Crypto API支持所有现代浏览器；Node.js的crypto模块为内置模块，v10及以上版本均支持。

内容的提问来源于stack exchange，提问作者Sharmi La