python - 为什么要通过计算字符的异或来比较两个字符串？

Question

前段时间我发现这个函数(不幸的是，我不记得它来自哪里，很可能来自某个 Python 框架)比较两个字符串并返回一个 bool 值。很容易理解这里发生了什么。
如果它们不匹配，则在 char 之间查找 xor 返回 1 (True)。

def  cmp_strings(str1, str2):
    return len(str1) == len(str2) and sum(ord(x)^ord(y) for x, y in zip(str1, str2)) == 0

但是为什么要使用这个函数呢？是不是和 str1==str2一样?

Answer 1

比较具有相同长度的任何字符串需要相似的时间。当字符串敏感时，它用于安全。通常它用于比较密码哈希。

如 ==使用时，Python 会在找到第一个不匹配的字符时停止比较字符。这对哈希不利，因为它可以揭示哈希与匹配的接近程度。这将有助于攻击者暴力破解密码。

就是这样 hmac.compare_digest 作品。