恒定时间比较

«结论先行：任何"拿用户可控输入去和一把密钥/签名/哈希做逐字节比较"的地方，如果用的是语言内置的字符串相等（"=="、"equals()"、"equalsIgnoreCase"、Go 的 "string =="），都在给攻击者开一条"逐字