简体中文
简体中文
在 PHP 开发中，我们经常需要对字符串进行比较，特别是在处理密码、哈希值、签名等安全敏感数据时。通常情况下，开发者可能会倾向于使用“==”来进行简单的字符串比较。然而，当我们讨论哈希字符串时，PHP 提供了一个专门的函数 hash_equals() 来进行比较。为什么 PHP 不建议使用“==”来替代 hash_equals()，而是推荐后者呢？下面我们来探讨一下背后的原因。
在 PHP 中，== 是一个宽松比较运算符（loose comparison operator），这意味着它会根据操作数的类型自动转换进行比较。这种行为在处理数字和字符串时，可能会带来一些意料之外的结果。例如：
<span><span><span class="hljs-variable">$hash1</span></span><span> = </span><span><span class="hljs-string">"abc"</span></span><span>;
</span><span><span class="hljs-variable">$hash2</span></span><span> = </span><span><span class="hljs-string">"a"</span></span><span> . </span><span><span class="hljs-string">"bc"</span></span><span>;
</span><span><span class="hljs-title function_ invoke__">var_dump</span></span><span>(</span><span><span class="hljs-variable">$hash1</span></span><span> == </span><span><span class="hljs-variable">$hash2</span></span><span>); </span><span><span class="hljs-comment">// 输出: bool(true)</span></span><span>
</span></span>在上面的例子中，$hash1 和 $hash2 乍看起来并不相同，但由于 PHP 在进行宽松比较时会做类型转换，它会认为这两个字符串是相等的。
更重要的是，PHP 会尝试对字符串中的每个字符进行比较，直到发现两个字符串的某个字符不同。但是，这样的宽松比较并不适用于哈希值，因为哈希值是二进制数据的表示，且在安全性方面对每个字符的严格性要求非常高。即使有微小的差异，哈希值也应该被认为是不同的。因此，== 不适合用于哈希比较。
与 == 不同，hash_equals() 是专门为哈希值比较设计的。它的行为非常严格，不会进行类型转换，也不会受到 PHP 宽松比较的影响。hash_equals() 会逐字节地检查两个字符串的内容，确保它们完全相同。如果有任何差异，它会立即返回 false，并且不会因为字符串的类型或其他因素产生误差。
此外，hash_equals() 还具备防止定时攻击（timing attack）的问题。定时攻击是一种利用操作时间差异来猜测敏感数据的攻击方式。如果你直接使用 == 比较哈希值，PHP 可能会在比较过程中泄露一些信息，攻击者可能通过细致的观察，推测出不同哈希值之间的差异。而 hash_equals() 会在所有字符都比较完毕后再给出结果，从而避免了这种安全漏洞。
因为 == 是宽松比较，它在处理哈希值时可能会出现一些难以预料的行为。例如，如果你在进行哈希值比较时，使用了“==”，并且输入的哈希字符串长度不一致，PHP 可能会进行填充，导致不必要的匹配。而 hash_equals() 则不会有这种问题，它会准确比较两个字符串的每一个字节，确保它们完全一致。
使用 == 来比较哈希值的风险之一就是可能会泄漏有关字符串长度的信息。如果在两个哈希字符串的比较中，PHP 使用了不同的字符串处理算法或字符转换，攻击者可能能够通过时间差异得出某些哈希是否匹配，从而进行信息猜测。
hash_equals() 提供了一个恒定的时间比较（constant-time comparison），即无论输入的字符串是什么样的，它的执行时间都是相同的，这对于防止定时攻击非常重要。
虽然 hash_equals() 的实现相较于 == 可能稍微慢一些，但它的安全性优势远远超过了这个性能开销。特别是在处理密码或敏感数据时，安全性应该始终优先于性能。因此，即使 == 在某些情况下执行得更快，使用 hash_equals() 进行哈希比较还是更为推荐。
此外，PHP 在实现 hash_equals() 时，已经做了性能优化，确保在大多数情况下它的执行效率足够高。
在 PHP 中，尽管“==”是一个常见的比较运算符，但它并不适用于哈希值的比较，尤其是在安全性要求高的场合。hash_equals() 被专门设计用于哈希值的比较，能够提供更严格、更安全的验证，并且避免了宽松比较可能带来的问题。为了确保代码的安全性，特别是在涉及密码、API 密钥或数字签名等敏感数据时，开发者应该始终使用 hash_equals() 而不是 == 来进行哈希值的比较。
