使用 java.security.SecureRandom 類替代 Flutter 中的 geolocator 包

Question

我目前正在構建一個用於安全測試的顫振應用程序。 在安全測試中，出現了與 Flutter 中的 geolocator 包相關的問題，在反編譯代碼后顯示使用了 java.util.Random 類，並且該類使隨機數生成在密碼學上很弱。

他們的建議是使用 java.security.SecureRandom 類來生成隨機數。

除了使用 java.security.SecureRandom 類生成隨機數的 geolocator 之外，還有其他包嗎？或者可以修復嗎？

提前感謝您的幫助

Answer 1

我是地理定位器 Flutter 包的創建者和維護者。 感謝您發布此內容並讓我意識到此問題。

我剛剛更新並發布了 geolocator_android 包的更新版本（版本 3.2.1），它用java.security.SecureRandom類替換了java.util.Random類的使用。 雖然生成的隨機數沒有以任何安全相關的方式使用（我們只是生成一個隨機標識符用作活動請求標識符）。

要解決上述問題，請更新 Flutter 依賴項。 geolocator_android 包是主要地理定位器依賴項的依賴項。 所以根據geolocator包會自動下載geolocator_android包。

要更新依賴項，請運行flutter pub update命令。 如果要檢查正在使用的版本，請打開pubspec.lock文件並搜索geolocator_android條目。

如果你真的想強制使用 geolocator_android 包的 3.2.1 版本，你可以像這樣向你的pubspec.yaml文件添加一個單獨的依賴項：

dependencies:
  geolocator: ^8.2.1
  geolocator_android: ^3.2.1