Grails或Spring恒定时间比较功能？

Question

我正在为 Grails 3 或 Spring 寻找类似于 Rails secure_compare method 或 Node 的 crypto.timingSafeEqual 的方法。

这两个框架都支持吗？还是我应该简单地使用本机 Java Message.isEqual？

Answer 1

这里的人不建议使用 MessageDigest.isEqual(...)：https://codahale.com/a-lesson-in-timing-attacks/

这可能是您正在寻找的解决方案：https://github.com/cossacklabs/themis/blob/master/src/wrappers/themis/java/com/cossacklabs/themis/SecureCompare.java