Go crypto/subtle.ConstantTimeCompare 怎样比较密钥材料

比较 Go 中已经取得的密钥字节材料时，可以使用 subtle.ConstantTimeCompare(x, y) == 1 判断是否相等。它的耗时依赖切片长度，不依赖等长切片的具体内容；长度不同会立即返回 0。因此应先明确协议允许的长度，不能把函数名理解成所有输入都耗时相同。

官方文档：https://pkg.go.dev/crypto/subtle

先把比较基线固定为32字节

以一个只接收32字节材料的内部接口为例，目标是比较内容，不是寻找最快的字符串比较方式。基线样本使用相同长度，再改变差异位置；否则长度提前返回会干扰观察。

这里的32字节是示例协议约束，并非 ConstantTimeCompare 对所有调用者规定的长度。业务已有别的固定长度时，应按该协议调整。

最小封装只返回相等与否

下面的封装在调用处拒绝空值和不合格式的输入，返回 bool，避免上层误用整数结果。示例只使用公开构造数据，未在本机执行，不包含性能测量结果。

package main

import (
    "crypto/subtle"
    "fmt"
)

func sameMaterial(expected, candidate []byte) bool {
    // 示例协议规定为32字节；长度是公开格式，不接受空值或截断值。
    const materialSize = 32
    if len(expected) != materialSize || len(candidate) != materialSize {
        return false
    }
    // API返回整数1表示相等，0表示不等。
    return subtle.ConstantTimeCompare(expected, candidate) == 1
}

func main() {
    // 以下是公开演示数据，不能用作生产密钥。
    expected := make([]byte, 32)
    for i := range expected {
        expected[i] = byte(i + 1)
    }
    equal := append([]byte(nil), expected...)
    firstDiff := append([]byte(nil), expected...)
    lastDiff := append([]byte(nil), expected...)
    firstDiff[0] ^= 1
    lastDiff[len(lastDiff)-1] ^= 1
    // 只显示布尔判断，不输出密钥材料。
    fmt.Println(sameMaterial(expected, equal))
    fmt.Println(sameMaterial(expected, firstDiff))
    fmt.Println(sameMaterial(expected, lastDiff))
    fmt.Println(sameMaterial(expected, equal[:31]))
}

按照样本构造，四次调用应依次得到 true、false、false、false。这个预期只说明功能行为，不是常量时间性质的测试证明。

怎样安排性能观察才有可比性

若项目需要记录调用成本，可分别准备相同内容、首部差异、尾部差异三个32字节样本，在计时区外完成切片创建。记录工具链、CPU、样本长度和每次操作耗时，重复多轮观察分布。不要把随机生成、日志输出或编码转换混入比较函数的计时。

再单独安排不同长度样本，用于观察协议拒绝路径，而不是与等长组混成一个平均数。本文没有给出 ns/op 或提升百分比，因为没有实际压测数据；不能从相邻两次调用的耗时差直接得出安全结论。

常量时间的保证停在哪里

官方约定限定了比较操作对内容的时间依赖。请求解析、材料解码、存储读取以及业务响应仍是调用者自己的代码，不能因为使用这个函数就宣称整个认证接口恒定耗时。

同样，不要先做普通相等比较，发现不等后才调用 ConstantTimeCompare；也不要只比较输入的公共前缀。本例的长度检查依据公开协议进行，不用于隐藏一个可变的秘密长度。

使用时记住三个问题

返回0就是参数错误吗？

不是。内容不相等与长度不同都返回0；需要区分格式问题时，由业务封装自己定义结果。

两个空切片能否代表有效材料？

底层比较把相同的空内容视为相等，但这不表示业务应接受空密钥。本例固定长度检查会拒绝它们。

能否把性能接近当成安全证明？

不能。性能观察只能描述特定环境中的调用成本，采用时仍应遵循 API 约定，并检查比较前后的业务分支。

参考：Go 比较函数文档；Go 官方源码与接口注释。