Node.js 中的 crypto.timingSafeEqual() 函数

2025 年 2 月 11 日 | 阅读 4 分钟

在本文中，我们将讨论 Node.js 中的 crypto.timingSafeEqual() 函数，包括其用法、语法和示例。

什么是 crypto.timingSafeEqual() 函数？

crypto.timingSafeEqual() 函数存在于 "crypto" 模块中。此函数通过比较两个缓冲区来防止时序攻击。不同的操作会花费不同的时间，这可能会通过时间差异泄露信息。通过使用此函数，我们可以防止信息泄露的风险。此函数也用于防止基于时序的侧信道攻击。

用途

此函数主要用于比较用户输入的密码与用户数据库中存储的密码。此函数还用于检查加密密钥和令牌。它确保比较操作花费恒定的时间，无论缓冲区是否相等。

语法

它具有以下语法。

它接受两个参数，即要比较的缓冲区。此函数返回一个布尔值。如果两个缓冲区匹配，此函数返回 true，否则返回 false。

示例

让我们以一个简单的 Node.js 应用程序为例，来说明 crypto.timingSafeEqual() 函数。

Index.html 页面

 
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title> Login Page </title>
    <style>
        body {
            font-family: Arial, sans-serif;
            background-color: #f0f0f0;
            margin: 0;
            padding: 0;
            display: flex;
            justify-content: center;
            align-items: center;
            height: 100vh;
        }
        h1 {
            text-align: center;
            margin-bottom: 20px;
            align-content: center;
        }
        form {
            width: 300px;
            padding: 20px;
            background-color: #fff;
            border-radius: 8px;
            box-shadow: 0px 2px 4px rgba(0, 0, 0, 0.1);
        }
        label {
            display: block;
            margin-bottom: 8px;
            font-weight: bold;
        }
        input {
            width: calc(100% - 16px);
            padding: 8px;
            margin-bottom: 16px;
            border: 1px solid #ccc;
            border-radius: 4px;
            box-sizing: border-box;
        }
        button {
            width: 100%;
            padding: 10px;
            background-color: #007bff;
            color: #fff;
            border: none;
            border-radius: 4px;
            cursor: pointer;
            transition: background-color 0.3s;
        }
        button:hover {
            background-color: #0056b3;
        }
    </style>
</head>
<body>
    <form id="loginForm" action="/login" method="post">
        <h1> Login </h1>
        <div>
            <label for="username"> Username: </label>
            <input type="text" id="username" name="username" required>
        </div>
        <div>
            <label for="password"> Password: </label>
            <input type="password" id="password" name="password" required>
        </div>
        <button type="submit"> Login </button>
    </form>
    <script>
        document.getElementById('loginForm').addEventListener('submit', async (event) => {
            event.preventDefault(); 
            const formData = new FormData(event.target);
            const username = formData.get('username');
            const password = formData.get('password');
            const response = await fetch('/login', {
                method: 'POST',
                headers: {
                    'Content-Type': 'application/json'
                },
                body: JSON.stringify({ username, password })
            });
            const result = await response.json();
            alert(result.message);
        });
    </script>
</body>
</html>

Node.js 页面

 
const http = require('http');
const crypto = require('crypto');
const fs = require('fs').promises;
const path = require('path');
const users = [
    { username: 'user1', passwordHash: '482c811da5d5b4bc6d497ffa98491e38' }, // Hashed password for "password123"
    { username: 'user2', passwordHash: '96b33694c4bb7dbd07391e0be54745fb' }  // Hashed password for "password456"
];
function authenticateUser(username, password) {
    const user = users.find(u => u.username === username);
    if (!user) {
        console.log(`User ${username} not found.`);
        return { success: false, message: 'User not found.' };
    }
    const hashedPassword = crypto.createHash('md5').update(password).digest('hex');
    console.log(`Entered Password: ${password}`);
    console.log(`Hashed Password: ${hashedPassword}`);
    console.log(`Stored Password Hash: ${user.passwordHash}`);
    // Use crypto.timingSafeEqual() for comparison
    const isMatch = crypto.timingSafeEqual(Buffer.from(hashedPassword, 'hex'), Buffer.from(user.passwordHash, 'hex'));
    console.log(`Password Match: ${isMatch}`);
    return { success: isMatch, message: isMatch ? 'Authentication successful.' : 'Invalid credentials.' };
}
// Create HTTP server
const server = http.createServer(async (req, res) => {
    if (req.method === 'GET' && req.url === '/') {
        const html = await fs.readFile(path.join(__dirname, 'index.html'));
        res.writeHead(200, { 'Content-Type': 'text/html' });
        res.end(html);
    } else if (req.method === 'POST' && req.url === '/login') {
        let body = '';
        req.on('data', chunk => {
            body += chunk.toString();
        });
        req.on('end', () => {
            const data = JSON.parse(body);
            const { username, password } = data;
            const authResult = authenticateUser(username, password);
            res.writeHead(200, { 'Content-Type': 'application/json' });
            res.end(JSON.stringify(authResult));
        });
    } else {
        res.writeHead(404, { 'Content-Type': 'text/plain' });
        res.end('404 Not Found');
    }
});
const PORT = process.env.PORT || 3000;
server.listen(PORT, () => {
    console.log(`Server running on port ${PORT}`);
});

输出

crypto.timingSafeEqual() function in Node.js

Console

运行此应用程序的步骤

要运行上述应用程序，请按照以下步骤操作

第1步： 首先，创建一个任意名称的文件夹，并在其中创建一个名为 "index.html" 的 html 页面。

第2步： 接下来，在同一文件夹中创建一个 Node.js 文件。

第3步： 在该文件夹中使用以下命令；

"npm init"
"npm i crypto"

第4步： 使用 "node node.js" 命令启动应用程序。

第5步： 之后，用 URL https://:3000/ 打开浏览器。

说明

在此示例中，名为 index.html 的 Html 文件是一个简单的登录页面。它有两个输入字段：用户名和密码，以及一个登录按钮。用户必须通过输入用户名和密码进行登录。如果用户详细信息与数据库匹配，将出现一个提示消息，显示“身份验证成功”。如果详细信息不匹配，则会显示“凭据无效”的提示消息。此文件包含一个使用 POST 方法将数据提交到 "/login" 端点的表单。内联 CSS 用于设置 html 页面的样式。

node.js 服务器脚本文件用于创建一个监听 3000 端口的 HTTP 服务器。当向根 URL 发出 GET 请求时，此页面将提供 index.html 页面。有一个名为“authenticate user”的函数，它将哈希密码与用户收到的密码进行比较。此比较使用 "crypto.timingSafeEqual" 方法执行，以避免时序攻击。此服务器文件还处理其他类型的请求，并返回 404 not-found 响应。

下一主题Node.js 和 Deno.js 之间的差异

Node.js 中的 crypto.timingSafeEqual() 函数

什么是 crypto.timingSafeEqual() 函数？

用途

语法