Tomcat 启动时 SecureRandom 非常慢解决办法

在springboot 项目之后，发现第一次用户登录时，需要好长时间或者要登录好多次才能登录成功。通过日志发现：

2018-10-30 10:32:33.475 INFO 13825 --- [nio-8110-exec-3] o.a.c.util.SessionIdGeneratorBase :

Creation of SecureRandom instance for session ID generation using [SHA1PRNG] took [170,404] milliseconds.

2018-10-30 10:32:33.475 INFO 13825 --- [nio-8110-exec-4] o.a.c.util.SessionIdGeneratorBase :

Creation of SecureRandom instance for session ID generation using [SHA1PRNG] took [167,057] milliseconds.

2018-10-30 10:32:33.476 INFO 13825 --- [nio-8110-exec-7] o.a.c.util.SessionIdGeneratorBase :

Creation of SecureRandom instance for session ID generation using [SHA1PRNG] took [59,213] milliseconds.

2018-10-30 10:32:33.475 INFO 13825 --- [nio-8110-exec-5] o.a.c.util.SessionIdGeneratorBase :

Creation of SecureRandom instance for session ID generation using [SHA1PRNG] took [153,391] milliseconds.

2018-10-30 10:32:33.477 INFO 13825 --- [nio-8110-exec-9] o.a.c.util.SessionIdGeneratorBase :

Creation of SecureRandom instance for session ID generation using [SHA1PRNG] took [104,795] milliseconds.

2018-10-30 10:32:33.479 INFO 13825 --- [nio-8110-exec-8] o.a.c.util.SessionIdGeneratorBase :

Creation of SecureRandom instance for session ID generation using [SHA1PRNG] took [114,282] milliseconds.

 

根本原因是

         SecureRandom 这个 jre 的工具类的问题。那为什么 SecureRandom generateSeed 这么慢，甚至挂在 Linux 操作系统呢？

          Tomcat 7/8 都使用 org.apache.catalina.util.SessionIdGeneratorBase.createSecureRandom 类产生安全随机类 SecureRandom 的实例作为会话 ID。

          Tomcat 使用 SHA1PRNG 算法是基于 SHA-1 算法实现且保密性较强的伪随机数生成器。

在 SHA1PRNG 中，有一个种子产生器，它根据配置执行各种操作。

           Linux 中的随机数可以从两个特殊的文件中产生，一个是 /dev/urandom，另外一个是 /dev/random。他们产生随机数的原理是利用当前系统的熵池来计算出固定一定数量的随机比特，然后将这些比特作为字节流返回。熵池就是当前系统的环境噪音，熵指的是一个系统的混乱程度，系统噪音可以通过很多参数来评估，如内存的使用，文件的使用量，不同类型的进程数量等等。如果当前环境噪音变化的不是很剧烈或者当前环境噪音很小，比如刚开机的时候，而当前需要大量的随机比特，这时产生的随机数的随机效果就不是很好了。

         这就是为什么会有 /dev/urandom 和 /dev/random 这两种不同的文件，后者在不能产生新的随机数时会阻塞程序，而前者不会（ublock），当然产生的随机数效果就不太好了，这对加密解密这样的应用来说就不是一种很好的选择。/dev/random 会阻塞当前的程序，直到根据熵池产生新的随机字节之后才返回，所以使用 /dev/random 比使用 /dev/urandom 产生大量随机数的速度要慢。

        SecureRandom generateSeed  使用 /dev/random 生成种子。但是 /dev/random 是一个阻塞数字生成器，如果它没有足够的随机数据提供，它就一直等，这迫使 JVM 等待。键盘和鼠标输入以及磁盘活动可以产生所需的随机性或熵。但在一个服务器缺乏这样的活动，可能会出现问题。

有2种解决方案：

1. 在Tomcat环境中解决：

        可以通过配置 JRE 使用非阻塞的 Entropy Source：

        在 catalina.sh 中加入这么一行：-Djava.security.egd=file:/dev/./urandom 即可。

2. 在 JVM 环境中解决：

        打开 $JAVA_PATH/jre/lib/security/java.security 这个文件，找到下面的内容：

?

1	securerandom.source=file:/dev/random

替换成：

?

1	securerandom.source=file:/dev/./urandom

这里值为何要在 dev 和 random 之间加一个点呢？有人认为是一个 bug 有人认为是有意为之，总之只要能解决我们的问题，管他是啥呢。

 

在 JDK 的 java.security 文件里，配置里的是：