Java 1.8与1.6的SecureRandom能否生成相同值？认证密钥差异求助

这个问题我之前帮不少开发者排查过，核心原因很明确：SHA1PRNG并不是Java官方标准化的随机数算法，它是Sun/Oracle JDK的私有实现，在Java 1.6到1.8的版本迭代中，这个算法的内部生成逻辑被修改了。相同的种子在不同版本JDK下生成的随机序列完全不同，自然导致Blowfish密钥对不上。

下面给你两个解决方案，优先推荐第一种：

方案1：改用标准化的密钥派生算法（长期可靠） #

既然SHA1PRNG跨版本不可靠，不如换成Java标准规范中定义的密钥派生函数，比如PBKDF2WithHmacSHA1。它的行为在所有Java版本（包括1.6及以上）中都是一致的，完全不会有跨版本差异问题。

示例代码如下（两端都要使用相同的参数）：

import javax.crypto.SecretKey;
import javax.crypto.SecretKeyFactory;
import javax.crypto.spec.PBEKeySpec;
import java.security.spec.KeySpec;

public class KeyGeneratorExample {
    public static void main(String[] args) throws Exception {
        // 两端必须保持一致的参数
        String password = "baa";
        byte[] salt = new byte[]{0x01, 0x02, 0x03, 0x04, 0x05, 0x06, 0x07, 0x08}; // 固定盐值，建议用字节数组而非字符串转（避免编码差异）
        int iterationCount = 10000;
        int keyLength = 128; // Blowfish支持32-448位密钥，这里选128位足够安全

        // 生成密钥
        KeySpec spec = new PBEKeySpec(password.toCharArray(), salt, iterationCount, keyLength);
        SecretKeyFactory factory = SecretKeyFactory.getInstance("PBKDF2WithHmacSHA1");
        byte[] keyBytes = factory.generateSecret(spec).getEncoded();
        
        // 转为Blowfish可用的SecretKey
        SecretKey blowfishKey = new SecretKeySpec(keyBytes, "Blowfish");
    }
}

这个方法的优势是完全遵循Java标准，不管是Oracle JDK还是OpenJDK，也不管是1.6还是1.8+版本，都能生成完全一致的密钥，是最稳妥的长期解决方案。

方案2：强制使用相同的SHA1PRNG实现（临时兼容，不推荐） #

如果因为历史原因必须保留SHA1PRNG的逻辑，可以尝试在Java 1.8端显式指定使用Sun的旧版实现，但这个方法有兼容性风险（比如某些OpenJDK版本可能没有SUN提供者），且依赖私有API，不建议长期使用。

修改后的Java 1.8端代码：

KeyGenerator keygen = KeyGenerator.getInstance("Blowfish");
// 显式指定SUN提供者的SHA1PRNG实现
SecureRandom foo = SecureRandom.getInstance("SHA1PRNG", "SUN");
foo.setSeed("baa".getBytes()); // 注意：确保两端只调用一次setSeed，且种子的字节编码一致
keygen.init(foo);

另外要注意：Java 1.6和1.8中setSeed的行为有细微差异——1.6中调用setSeed会直接重置随机数生成器状态，而1.8中第一次调用是设置种子，后续调用是追加种子。所以一定要确保两端只调用一次setSeed，并且种子的字节数组完全一致（比如避免用字符串转字节时的编码差异，最好直接用固定字节数组）。

内容的提问来源于stack exchange，提问作者shing_l