时序侧信道

«结论先行：任何"拿用户可控输入去和一把密钥/签名/哈希做逐字节比较"的地方，如果用的是语言内置的字符串相等（"=="、"equals()"、"equalsIgnoreCase"、Go 的 "string =="），都在给攻击者开一条"逐字

一、现象：报错文案统一了，用户还是被枚举光了 去年给一家做 B 端 SaaS 的客户做安全加固复盘，目标是登录接口 "POST /api/v1/auth/login"，Spring Boot 3.2 + Spring Security 6.