README

PHP 5.6 之前的版本对 hash_equals() 的实现

此函数是为了比较哈希字符串而创建的，以防止时间攻击。一些库有类似的实现，但作为更大包的一部分。

安装

"require": {
    "znk3r/hash_equals": "dev-master"
}

在添加到 composer 后，此函数将自动可用（请记住运行 "composer update"）

<?php

if (!hash_equals($storedHash, $userGeneratedHash)) {
    echo "The strings are different"; 
}

时间攻击是一种侧信道攻击形式，允许攻击者通过测量操作执行时间（通常基于攻击者推导的一组输入）来发现操作的一些秘密输入。

乍一看，这似乎是一项不可能的任务，但现实中并不需要太多思考就能意识到，许多 Web 应用程序在登录尝试期间可能以不同的方式处理现有的和非现有的用户名。不同的处理方式可能导致关于任何用户名有效性的几个方面的线索

这些攻击的实现很复杂，但已经被使用过几次。

在 PHP-5.6 中，添加了 hash_equals() 来帮助处理此类攻击，但该函数在旧版本中不可用，使它们容易受到攻击。

应使用此函数来减轻时间攻击，特别是在比较哈希时，但不应将其作为所有字符串比较的一般替代方案。