php hash equals,PHP hash_equals polyfill

在 php.net 看到一個版本，然而卻有很多 downvotes，不知爲何。

if(!function_exists('hash_equals')) {

function hash_equals($str1, $str2) {

if(strlen($str1) != strlen($str2)) {

return false;

} else {

$res = $str1 ^ $str2;

$ret = 0;

for($i = strlen($res) - 1; $i >= 0; $i--) $ret |= ord($res[$i]);

return !$ret;

}

}

}

如果這個函數真的不好，請說明原因，最好還能給出替代解決方案，謝謝。

從 stackoverflow 看到其實現如下：

PHP_FUNCTION(hash_equals)

{

/* ... */

if (Z_STRLEN_P(known_zval) != Z_STRLEN_P(user_zval)) {

RETURN_FALSE;

}

/* ... */

/* This is security sensitive code. Do not optimize this for speed. */

for (j = 0; j < Z_STRLEN_P(known_zval); j++) {

result |= known_str[j] ^ user_str[j];

}

RETURN_BOOL(0 == result);

}

貌似和上面的 polyfill 沒什麼區別啊