hash_equals()函数

本文同时发表在https://github.com/zhangyachen/zhangyachen.github.io/issues/92

了解下hash_equals的概念：

bool hash_equals ( string $known_string , string $user_string )
比较两个字符串，无论它们是否相等，本函数的时间消耗是恒定的。

本函数可以用在需要防止时序攻击的字符串比较场景中， 例如，可以用在比较 crypt() 密码哈希值的场景。

上面提到了时序攻击，什么是时序攻击呢？引自如何通俗地解释时序攻击(timing attack)?中shotgun的回答：

举一个最简单的计时攻击的例子，某个函数负责比较用户输入的密码和存放在系统内密码是否相同，如果该函数是从第一位开始比较，发现不同就立即返回，那么通过计算返回的速度就知道了大概是哪一位开始不同的，这样就实现了电影中经常出现的按位破解密码的场景。密码破解复杂度成千上万倍甚至百万千万倍的下降。

而hash_equals的时间消耗是恒定的，也就防止了时序攻击。

PHP 中的 == 和“隐式