PHP 中的和「隱式轉換」

最近，在 hacker news 上有一篇帖子（提到了一種探測**密碼加密方式的方法。

<?php
var_dump(md5('240610708') == md5('qnkcdzo'));
var_dump(sha1('aarozmok') == sha1('aak1stfy'));
var_dump('0x1234ab' == '1193131');

結果都是：

bool(true)
bool(true)
bool(true)

如果在乙個**，使用240610708作為密碼，然後用qnkcdzo登陸，結果可以登入的話，說明密碼是以md5方式儲存的。類似的，如果用aarozmok作為密碼，然後用aak1stfy登陸，結果可以登入的話，說明密碼是以sha1方式儲存的。第三種當然就是明文儲存了。

以第一組數為例：

md5('240610708') 的結果是：0e462097431906509019562988736854
md5('qnkcdzo') 的結果是：0e830400451993494058024219903391

由於 php 是弱型別語言，在使用 == 號時，如果比較乙個數字和字串或者比較涉及到數字內容的字串，則字串會被轉換為數值並且比較按照數值來進行。此規則也適用於 switch 語句。上述例子中的兩個字串恰好以 0e 的科學記數法開頭，字串被隱式轉換為浮點數，實際上也就等效於 0×10^0 ，因此比較起來是相等的。

<?php
var_dump( 0 == "a" );
var_dump( "0" == "a" );

第乙個返回的是true，第二個返回的是false

php中的hash校驗，應該使用「===」，而不應該使用「==」。另外如果生產環境版本足夠高的話（php >= 5.6.0），最好使用hash_equals()函式。

hash_equals()在比較兩個字串，無論它們是否相等，函式的時間消耗是恆定的，可以用來防止時序攻擊。

PHP 中的和「隱式轉換」

PHP 中的和「隱式轉換」

php隱式轉換

Scala中的隱式轉換函式隱式引數和隱式類

PHP 中的 和「隱式轉換」

PHP 中的 和「隱式轉換」

php隱式轉換

Scala中的隱式轉換函式 隱式引數和隱式類

相關推薦

PHP 中的和「隱式轉換」

PHP 中的和「隱式轉換」

Scala中的隱式轉換函式隱式引數和隱式類