if (apiKeyFromDb === apiKeyReceived) {
return true
}
return false
}
说实话我刚看到的时候也是一脸懵逼，这有啥问题？不是很正常的一个if else代码吗。
不过这不是普通的if else代码，这是用来比较安全证书的代码，这个时候你不能泄露一丁点的信息，所以确保他们在一定的时间内进行比较。否则的你的应用就可能受到时序攻击了。
什么是时序攻击(timing attacks)？Node.js使用的V8引擎试图从表示层面上优化代码。它一个字符一个字符地比较，一旦找到不符合它就停止比较。
你可以使用cryptiles这个npm模块来解决这个问题
function checkApiKey(apiKeyFromDb, apiKeyReceived) {
return cryptiles.fixedTimeCimparison(apiKeyFromDb, apiKeyReceived)
}如何通俗地解释时序攻击(timing attack)?
时序攻击属于侧信道攻击/旁路攻击(Side Channel Attack)，侧信道攻击是指利用信道外的信息，比如加解密的速度/加解密时芯片引脚的电压/密文传输的流量和途径等进行攻击的方式，一个词形容就是“旁敲侧击”。
举一个最简单的计时攻击的例子，某个函数负责比较用户输入的密码和存放在系统内密码是否相同，如果该函数是从第一位开始比较，发现不同就立即返回，那么通过计算返回的速度就知道了大概是哪一位开始不同的，这样就实现了电影中经常出现的按位破解密码的场景。密码破解复杂度成千上万倍甚至百万千万倍的下降。
最简单的防御方法是：“发现错误的时候并不立即返回，而是设一个标志位，直到完全比较完两个字符串再返回”。
时序攻击并非是一种理论攻击方法，OpenSSL、OpenSSH等应用都曾经有时序攻击漏洞，举个实际的例子吧：
下面的代码会输出什么
Promise.reso(1)
.then((x) => x + 1)
.then((x) => {throw new Error('My Error')})
.catch(() => 1)
.then((x) => x + 1)
.then((x) => console.log(x))
.catch(console.error) 一个新的Promise被创造出来，它会解析参数1
解析后的值会被加上1(现在是2)，并立即返回了这个2
解析的值被丢弃，抛出一个异常
异常被丢弃，新的值1被返回
catch后运行不会停止，在异常处理之前，它继续运行，一个新的，增加了1后的值2被返回
返回值被打印出来
这一行不会运行，因为没有异常
总结
以上就是关于Node.js的几道面试题，希望本文的内容对大家能有所帮助，如果有疑问大家可以留言交流，谢谢大家对软件开发网的支持。
