一背景
今天部署项目到 tomcat, 执行./startup.sh 命令之后, 访问项目迟迟加载不出来, 查看日志又没报错 (其实是我粗心了, 当时 tomcat 日志还没打印完), 一开始怀疑是阿里云主机出现问题, 访问 ip:80 发现 nginx 运行正常在我百思不得其解时, 项目访问正常了, 查看启动日志, 发现如下:
15-Mar-2018 16:41:02.302 WARNING [main] org.apache.catalina.util.SessionIdGeneratorBase.createSecureRandom Creation of SecureRandom instance for session ID generation using [SHA1PRNG] took [236,325] milliseconds.
可以看出实例化 SecureRandom 花了接近 4 分钟!
二调查
网上搜索到的信息如下:
**********************************************************************************************
Tomcat 7/8/9 都使用 org.apache.catalina.util.SessionIdGeneratorBase.createSecureRandom 类产生安全随机类 SecureRandom 的实例作为会话 ID
Tomcat 使用 SHA1PRNG 算法是基于 SHA-1 算法实现且保密性较强的伪随机数生成器
在 SHA1PRNG 中, 有一个种子产生器, 它根据配置执行各种操作
Linux 中的随机数可以从两个特殊的文件中产生, 一个是 /dev/urandom, 另外一个是 /dev/random 他们产生随机数的原理是利用当前系统的熵池来计算出固定一定数量的随机比特, 然后将这些比特作为字节流返回熵池就是当前系统的环境噪音, 熵指的是一个系统的混乱程度, 系统噪音可以通过很多参数来评估, 如内存的使用, 文件的使用量, 不同类型的进程数量等等如果当前环境噪音变化的不是很剧烈或者当前环境噪音很小, 比如刚开机的时候, 而当前需要大量的随机比特, 这时产生的随机数的随机效果就不是很好了
这就是为什么会有 /dev/urandom 和 /dev/random 这两种不同的文件, 后者在不能产生新的随机数时会阻塞程序, 而前者不会 (ublock), 当然产生的随机数效果就不太好了, 这对加密解密这样的应用来说就不是一种很好的选择 / dev/random 会阻塞当前的程序, 直到根据熵池产生新的随机字节之后才返回, 所以使用 /dev/random 比使用 /dev/urandom 产生大量随机数的速度要慢
SecureRandom generateSeed 使用 /dev/random 生成种子但是 /dev/random 是一个阻塞数字生成器, 如果它没有足够的随机数据提供, 它就一直等, 这迫使 JVM 等待键盘和鼠标输入以及磁盘活动可以产生所需的随机性或熵但在一个服务器缺乏这样的活动, 可能会出现问题
**********************************************************************************************
说得很清楚, 就是随机数生成问题上述观点在 jdk 中 SecureRandom 类的注释得到了印证:
- * Note: Depending on the implementation, the {@code generateSeed} and
- * {@code nextBytes} methods may block as entropy is being gathered,
- * for example, if they need to read from /dev/random on various Unix-like
- * operating systems.
三解决
方案有 3 个
方案 1: 通过 rng-tools 自动补充熵池 (推荐)
- yum install rng-tools #安装 rngd 熵服务
- systemctl start rngd #启动服务
- cp /usr/lib/systemd/system/rngd.service /etc/systemd/system
- cd /etc/systemd/system/
- vim rngd.service
将 ExecStart=/sbin/rngd -f 改为 ExecStart=/sbin/rngd -f -r /dev/urandom
- systemctl daemon-reload #重新载入服务
- systemctl restart rngd #重启服务
来源: https://www.cnblogs.com/zhangyuejia/p/8575080.html