使用java.security.SecureRandom生成随机单词时，Veracode的Entropy不足

Question

我创建了一个使用org.apache.commons.lang.RandomStringUtils生成随机单词（字母数字）的类。

    public String randomWord(int wordLength) {
        return RandomStringUtils.random(wordLength, 0, 0, true, true, null, new SecureRandom());
    }

此代码工作正常，但当我将其提交给Veracode时，我收到中等错误“熵不足（CWE ID 331）”

我认为使用SecureRandom就足以解决这个错误，但事实并非如此，我不知道为什么。

为什么使用SecureRandom不够好或不够安全？
有没有办法使用org.apache.commons.lang.RandomStringUtils而不会让Veracode不开心？是否有其他安全库可用于生成安全的随机字母数字单词？