HMAC

【背景】 热榜上大家都在聊 P99 降 1ms 值不值 3 天、连接池该多大、超时预算怎么切——作为做了 8 年安全加固的人，我每天都在干一件"反向"的事：往链路里"塞东西"。 打个比方：性能优化像是在高速公路拓宽车道、修匝道，安全加固像是

【背景】 4 副本 Go 网关（Go 1.21，K8s 1.27 自建集群，无云），对外 API 鉴权走「HMAC + 时间戳 + nonce」三件套：客户端带 "ts"、"nonce"、"sign=HMAC(secret, method|

«结论先行：任何"拿用户可控输入去和一把密钥/签名/哈希做逐字节比较"的地方，如果用的是语言内置的字符串相等（"=="、"equals()"、"equalsIgnoreCase"、Go 的 "string =="），都在给攻击者开一条"逐字