【怎樣使用strncmp函數實現安全的字符串比較？ PHP安全編碼必備技巧】

gitbox 2025-06-20

1. 什麼是strncmp函數？

strncmp函數是PHP提供的一個用於比較兩個字符串的函數。與strcmp不同， strncmp會在指定的字符數範圍內進行比較，因此它比普通的字符串比較更為精確和安全。 strncmp函數的語法如下：

 <span><span><span class="hljs-keyword">int</span></span><span> </span><span><span class="hljs-title function_ invoke__">strncmp</span></span><span> ( </span><span><span class="hljs-keyword">string</span></span><span> </span><span><span class="hljs-variable">$str1</span></span><span> , </span><span><span class="hljs-keyword">string</span></span><span> </span><span><span class="hljs-variable">$str2</span></span><span> , </span><span><span class="hljs-keyword">int</span></span><span> </span><span><span class="hljs-variable">$length</span></span><span> )
</span></span>

$str1 ：第一個字符串。
$str2 ：第二個字符串。
$length ：要比較的最大字符數。

該函數返回一個整數值，根據兩個字符串的大小關係，返回以下幾種情況：

返回值為0 表示兩個字符串在指定長度內完全相等。
返回值小於0 表示$str1小於$str2 。
返回值大於0 表示$str1大於$str2 。

2. 為什麼需要使用strncmp進行字符串比較？

在PHP中，常用的字符串比較函數是strcmp和strcasecmp 。這些函數都會從頭到尾比較整個字符串。然而，在安全相關的應用中，直接使用這些函數可能會帶來一些潛在的風險，尤其是面對時間攻擊時。

2.1 時間攻擊

時間攻擊是一種通過測量系統在比較操作中所花費的時間差異來推斷出數據內容的攻擊方式。攻擊者可以通過不斷嘗試不同的字符串，並根據比較操作所消耗的時間逐步推測出正確的字符串。

例如， strcmp和strcasecmp函數會逐個字符比較兩個字符串，並在找到第一個不匹配的字符時返回結果。這意味著，如果兩個字符串的前幾個字符是相同的，函數將需要更多的時間來比較後續字符。攻擊者可以利用這一點，通過反複試探找到正確的字符順序。

2.2 strncmp的安全性

strncmp函數允許開發者限製字符串比較的字符數。這意味著，即使兩個字符串的前幾位相同， strncmp只會比較指定的字符長度，不會繼續進行其他字符的比較，從而減少了通過時間差來推斷字符串的可能性。結合strncmp函數的精確控制，可以有效避免潛在的時間攻擊。

3. 如何使用strncmp進行安全的字符串比較？

在進行安全的字符串比較時，可以通過以下方式使用strncmp ：

3.1 比較固定長度的字符串

當你需要比較兩個固定長度的字符串時，可以直接指定比較的字符數。例如，如果我們需要比較兩個長度為16的哈希值：

 <span><span><span class="hljs-variable">$hash1</span></span><span> = </span><span><span class="hljs-string">'d41d8cd98f00b204e9800998ecf8427e'</span></span><span>;
</span><span><span class="hljs-variable">$hash2</span></span><span> = </span><span><span class="hljs-string">'d41d8cd98f00b204e9800998ecf8427e'</span></span><span>;

</span><span><span class="hljs-keyword">if</span></span><span> (</span><span><span class="hljs-title function_ invoke__">strncmp</span></span><span>(</span><span><span class="hljs-variable">$hash1</span></span><span>, </span><span><span class="hljs-variable">$hash2</span></span><span>, </span><span><span class="hljs-number">32</span></span><span>) === </span><span><span class="hljs-number">0</span></span><span>) {
    </span><span><span class="hljs-keyword">echo</span></span><span> </span><span><span class="hljs-string">'兩個哈希值相同'</span></span><span>;
} </span><span><span class="hljs-keyword">else</span></span><span> {
    </span><span><span class="hljs-keyword">echo</span></span><span> </span><span><span class="hljs-string">'哈希值不同'</span></span><span>;
}
</span></span>

在這個例子中，我們通過strncmp函數限制只比較32個字符，這樣就可以避免時間攻擊。

3.2 比較用戶輸入

當我們需要驗證用戶輸入的密碼或其他敏感數據時，應該盡量避免直接使用strcmp 。可以通過strncmp來比較用戶輸入和存儲的密碼哈希值。比如：

 <span><span><span class="hljs-variable">$userInput</span></span><span> = </span><span><span class="hljs-string">'password123'</span></span><span>;
</span><span><span class="hljs-variable">$storedHash</span></span><span> = </span><span><span class="hljs-string">'$2y$10$4.2T70akfYlBpgk2JqJbVvDrzVX9pIHH9RbHg5bWlfu'</span></span><span>;

</span><span><span class="hljs-keyword">if</span></span><span> (</span><span><span class="hljs-title function_ invoke__">strncmp</span></span><span>(</span><span><span class="hljs-variable">$userInput</span></span><span>, </span><span><span class="hljs-variable">$storedHash</span></span><span>, </span><span><span class="hljs-number">60</span></span><span>) === </span><span><span class="hljs-number">0</span></span><span>) {
    </span><span><span class="hljs-keyword">echo</span></span><span> </span><span><span class="hljs-string">'密碼匹配成功'</span></span><span>;
} </span><span><span class="hljs-keyword">else</span></span><span> {
    </span><span><span class="hljs-keyword">echo</span></span><span> </span><span><span class="hljs-string">'密碼錯誤'</span></span><span>;
}
</span></span>

在這個例子中，我們假設用戶輸入了密碼並與存儲的哈希值進行比較。通過限制比較的字符數為60，我們確保了安全性。

4. strncmp與hash_equals函數對比

儘管strncmp提供了一定程度的安全性，PHP還提供了另一個更為專門用於安全字符串比較的函數—— hash_equals 。 hash_equals是專門設計來避免時間攻擊的，它不會受到字符串長度或內容相似度的影響，因此對於哈希值比較來說，它是更好的選擇。用法如下：

 <span><span><span class="hljs-variable">$expected</span></span><span> = </span><span><span class="hljs-string">'d41d8cd98f00b204e9800998ecf8427e'</span></span><span>;
</span><span><span class="hljs-variable">$actual</span></span><span> = </span><span><span class="hljs-string">'d41d8cd98f00b204e9800998ecf8427e'</span></span><span>;

</span><span><span class="hljs-keyword">if</span></span><span> (</span><span><span class="hljs-title function_ invoke__">hash_equals</span></span><span>(</span><span><span class="hljs-variable">$expected</span></span><span>, </span><span><span class="hljs-variable">$actual</span></span><span>)) {
    </span><span><span class="hljs-keyword">echo</span></span><span> </span><span><span class="hljs-string">'哈希值相同'</span></span><span>;
} </span><span><span class="hljs-keyword">else</span></span><span> {
    </span><span><span class="hljs-keyword">echo</span></span><span> </span><span><span class="hljs-string">'哈希值不同'</span></span><span>;
}
</span></span>

雖然hash_equals提供了更高的安全性，但在某些情況下，如果我們只是比較部分字符（例如，比較哈希值的前32個字符）， strncmp仍然是一個可行的選擇。

5. 結論

在進行字符串比較時，安全性應該是我們首先考慮的因素之一。使用PHP的strncmp函數可以有效地減少時間攻擊的風險，尤其是在比較固定長度的字符串時，它能夠幫助開發者提高應用程序的安全性。然而， strncmp並不是萬能的，對於更加複雜的安全要求（如哈希值的完整比較），使用hash_equals函數會是更為理想的選擇。

通過合理地選擇字符串比較的方法，你可以確保你的PHP應用程序更加安全可靠，保護用戶的敏感信息免受潛在的攻擊。