本文探讨了PHP中的`hash_equals()`函数，它用于安全地比较两个字符串，防止时间攻击。文章提到了一个在php.net上找到的polyfill实现，并与PHP官方实现进行了对比，两者看似相似。讨论了为何该函数对于安全敏感的操作是必要的，同时提醒不要为了速度牺牲安全性。此外，还提及了其他编程相关话题，如PHPStorm闪退、Python web框架选择、React的离线转换等。
PHP hash_equals polyfill
在 php.net 看到一個版本，然而卻有很多 downvotes，不知爲何。
if(!function_exists('hash_equals')) {
function hash_equals($str1, $str2) {
if(strlen($str1) != strlen($str2)) {
return false;
} else {
$res = $str1 ^ $str2;
$ret = 0;
for($i = strlen($res) - 1; $i >= 0; $i--) $ret |= ord($res[$i]);
return !$ret;
}
}
}
如果這個函數真的不好，請說明原因，最好還能給出替代解決方案，謝謝。
從 stackoverflow 看到其實現如下：
PHP_FUNCTION(hash_equals)
{
/* ... */
if (Z_STRLEN_P(known_zval) != Z_STRLEN_P(user_zval)) {
RETURN_FALSE;
}
/* ... */
/* This is security sensitive code. Do not optimize this for speed. */
for (j = 0; j < Z_STRLEN_P(known_zval); j++) {
result |= known_str[j] ^ user_str[j];
}
RETURN_BOOL(0 == result);
}
貌似和上面的 polyfill 沒什麼區別啊
相关阅读:
PhpStorm 10.0.1 打开闪退？
最好的Python web框架。
react 的离线转换怎么搞？
关于 Django 中 models.py 关联表的 form怎么写?
初学者，写的直接插入排序，欢迎大家指出不足哈
js字符串中的“\”
今天上课遇到一个小问题，关于isXX的boolean值
iOS 画实心圆
关于ajax获取数据的一个问题
在JS\JQ中，究竟何时用单引号''、双引号“”、和不用引号呢？
从github上克隆 c3.js项目，运行自己添加的radar图失败
缓冲运动中为什么第二次运动的时候会停在中间位置左右晃动？
单链表的插入和删除操作中，为什么要用指向指针的指针？
Class>和Class有什么区别
Python文件操作之路径问题
在 Coursera 和 EDX 上有哪些优秀的计算机课程？
服务器不能联网的情况下如何安装saltstack？
在input输入关键字，在手机键盘上搜索，怎么做到？
求jQuery视频播放器(可兼容IE7、响应式、可重用)
A是B的子类，为什么List就不是List的子类？
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
