他们和多路复用器有啥关系？

通过基础工具+基础接口的方式，就可以解决项目A、B、C...的基础框架版本管理和公共维护的问题，且在遇到框架 BUG 时，只需要直接 upgrade 就好了。

而在框架维护者层面，还能通过注册机制知道目前基础框架的使用情况(例如：版本分布)，便于后续的迭代和规划。

同时若内部微服务依赖复杂，可以将脚手架直接 “升级”，再做多一层基础平台，通过 CI/CD 平台等关联创建应用，选择应用类型等基本信息，然后关联创建对应的应用模板、构建工具、网关、数据库、接口平台、初始化自动化用例等：

 

可以看到，这里首先获取到登录用户传入的密码即 presentedPassword，然后调用 passwordEncoder.matches 方法进行密码比对操作，本来该方法的第二个参数是数据库查询出来的用户密码，现在数据库中没有查到用户，所以第二个参数用 userNotFoundEncodedPassword 代替了，userNotFoundEncodedPassword 就是我们一开始调用 prepareTimingAttackProtection 方法时赋值的变量。这个密码比对，从一开始就注定了肯定会失败，那为什么还要比对呢?

计时攻击

这就引入了我们今天的主题--计时攻击。

计时攻击是旁路攻击的一种，在密码学中，旁道攻击又称侧信道攻击、边信道攻击(Side-channel attack)。

这种攻击方式并非利用加密算法的理论弱点，也不是暴力破解，而是从密码系统的物理实现中获取的信息。例如：时间信息、功率消耗、电磁泄露等额外的信息源，这些信息可被用于对系统的进一步破解。

旁路攻击有多种不同的分类：

• 缓存攻击(Cache Side-Channel Attacks)，通过获取对缓存的访问权而获取缓存内的一些敏感信息，例如攻击者获取云端主机物理主机的访问权而获取存储器的访问权。
• 计时攻击(Timing attack)，通过设备运算的用时来推断出所使用的运算操作，或者通过对比运算的时间推定数据位于哪个存储设备，或者利用通信的时间差进行数据窃取。
• 基于功耗监控的旁路攻击，同一设备不同的硬件电路单元的运作功耗也是不一样的，因此一个程序运行时的功耗会随着程序使用哪一种硬件电路单元而变动，据此推断出数据输出位于哪一个硬件单元，进而窃取数据。
• 电磁攻击(Electromagnetic attack)，设备运算时会泄漏电磁辐射，经过得当分析的话可解析出这些泄漏的电磁辐射中包含的信息(比如文本、声音、图像等)，这种攻击方式除了用于密码学攻击以外也被用于非密码学攻击等窃听行为，如TEMPEST 攻击。
• 声学密码分析(Acoustic cryptanalysis)，通过捕捉设备在运算时泄漏的声学信号捉取信息(与功率分析类似)。
• 差别错误分析，隐密数据在程序运行发生错误并输出错误信息时被发现。
• 数据残留(Data remanence)，可使理应被删除的敏感数据被读取出来(例如冷启动攻击)。
• 软件初始化错误攻击，现时较为少见，行锤攻击(Row hammer)是该类攻击方式的一个实例，在这种攻击实现中，被禁止访问的存储器位置旁边的存储器空间如果被频繁访问将会有状态保留丢失的风险。
• 光学方式，即隐密数据被一些视觉光学仪器(如高清晰度相机、高清晰度摄影机等设备)捕捉。

所有的攻击类型都利用了加密/解密系统在进行加密/解密操作时算法逻辑没有被发现缺陷，但是通过物理效应提供了有用的额外信息(这也是称为“旁路”的缘由)，而这些物理信息往往包含了密钥、密码、密文等隐密数据。

而上面 Spring Security 中的那段代码就是为了防止计时攻击。

具体是怎么做的呢?假设 Spring Security 从数据库中没有查到用户信息就直接抛出异常了，没有去执行 mitigateAgainstTimingAttack 方法，那么黑客经过大量的测试，再经过统计分析，就会发现有一些登录验证耗时明显少于其他登录，进而推断出登录验证时间较短的都是不存在的用户，而登录耗时较长的是数据库中存在的用户。

现在 Spring Security 中，通过执行 mitigateAgainstTimingAttack 方法，无论用户存在或者不存在，登录校验的耗时不会有明显差别，这样就避免了计时攻击。

可能有小伙伴会说，passwordEncoder.matches 方法执行能耗费多少时间呀?这要看你怎么计时了，时间单位越小，差异就越明显：毫秒(ms)、微秒(µs)、奈秒(ns)、皮秒(ps)、飛秒(fs)、阿秒(as)、仄秒(zs)。

另外，Spring Security 为了安全，passwordEncoder 中引入了一个概念叫做自适应单向函数，这种函数故意执行的很慢并且消耗大量系统资源，所以非常有必要进行计时攻击防御。

关于自适应单向函数，这是另外一个故事了，松哥抽空再和小伙伴们聊～

好啦，今天就先和小伙伴们聊这么多，小伙伴们决定有收获的话，记得点个在看鼓励下松哥哦～

（编辑：平顶山站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!