php - 比较散列字符串的最佳方法是什么？ (PHP)

Question

我应该使用 if(strcmp(md5($string),$hash)==0) 还是 if(md5($string)==$hash)

Answer 1

在直接比较哈希以进行身份​​验证等事情时，您应该非常小心，因为您可能会为定时攻击打开一个窗口。

虽然这听起来很违反直觉，但您应该对字符串进行全面比较，避免任何优化(即如果字符不同则提前退出)。

以下是有关该问题的一些链接:

• https://wiki.php.net/rfc/timing_attack
• http://codahale.com/a-lesson-in-timing-attacks/
• http://carlos.bueno.org/2011/10/timing.html

为了解决这个问题，这里有一些想法:

• 最快最简单:只需使用 hash_equals()如果可用(PHP 5.6 及更高版本)。
• https://github.com/symfony/polyfill-php56/blob/master/Php56.php (hash_equals() polyfill)
• https://github.com/zendframework/zend-crypt/blob/master/src/Utils.php (compareStrings())