这 10 行比较字符串相等的代码给我整懵了，不信你也来看看

如果真需要保护不被时序攻击，理论上这坨代码第一行就会泄露被保密的字符串长度。另外欢迎体验 NullPointerException

学习了
差点因为烂标题错过一篇好文章

这东西编译器稍微优化优化不就完全不管用了吗

都写了 safe 了，防止侧信道攻击当然要完整对比完了。

@sarvatathagata 按位或还是挺难优化的，要消除运算量必然要加入分支，而现代处理器上跑分支并不见得更快，所以很大可能编译器不会去尝试这些不会提速的优化。

大概原理我都懂，不过现在一般都是 hash 存数据库，不代表说改一位时间长就代表那一位是对的
而且都侦测电磁信号了，拿着刀夹脖子逼你说出密码不是更好么

第一次接触，是通过返回时间判断吗，这也太理论了吧？ 1 毫秒的区别也不会有吧，干扰因素那么多，整个返回时间根本不是正相关吧

同问 1L 的问题，或者说长度不重要吗？

@xiangyuecn #1 是因为语言不同吧，原文写的是 Scala 语言的，字符串的 length 是属性不是方法，不用在调用时计算

我不太懂 Scala，如果 Scala 是把 length 给搞成 getter 了那还是不行

@Ultraman 长度真不重要，长度信息之于密码就像端口之于 ssh 。

看来 V 站的都是大神~ NPE 被省去了哈。JDK 中是有的。

```java
public static boolean isEqual(byte[] digesta, byte[] digestb) {
if (digesta == digestb) return true;
if (digesta == null || digestb == null) {
return false;
}
if (digesta.length != digestb.length) {
return false;
}

int result = 0;
for (int i = 0; i < digesta.length; i++) {
result |= digesta[i] ^ digestb[i];
}
return result == 0;
}
```

我抓包的时候发现,一些网站传到后台的密码 1 不是明文,2 会加满位数
这个题目挺有趣的,但是我觉得不实用

@jmc891205 这年头难啊，不“标题党”都没人点进来。然后点进来吧，又被吐槽标题党了。

之前看到篇密码相关的文章有提到慢比较 slowequals

https://www.infoq.cn/article/how-to-encrypt-the-user-password-correctly/?utm_source=infoq&utm_medium=popular_widget&utm_campaign=popular_content_list&utm_content=homepage

有点儿基于时间的 sql 盲注的意思。

比较个字符串怎么实现时序攻击？要攻击的话拦截入参就啥都知道了，还要时序攻击做咩？

占楼 学习

理解思想就好、实际应用这个还没用到过