Go subtle.ConstantTimeSelect 如何选择整数结果

我第一次把 subtle.ConstantTimeSelect 放进认证结果代码时，最容易忽略的不是函数名，而是第一个参数的契约：它不是“任意非零都算真”，只接受 0 和 1。结论可以先记住：v=1 返回 x，v=0 返回 y，其他值的行为未定义。

先把 v 限定为 0 或 1

官方文档对这个函数的描述很短，却决定了所有调用方式。下面用 ConstantTimeEq 生成选择值：相等时得到 1，于是选择第一个整数；不相等时得到 0，于是选择第二个整数。

package main

import "crypto/subtle"

func chooseCode(actual, expected int32) int {
	// 比较函数返回严格的 0 或 1，适合直接作为选择条件。
	v := subtle.ConstantTimeEq(actual, expected)
	// v=1 选择 200，v=0 选择 403。
	return subtle.ConstantTimeSelect(v, 200, 403)
}

这里的 200 和 403 只是两个整数结果，不代表函数会替你完成 HTTP 响应。若业务输入本身是布尔值，要先把它转换成明确的 0/1，并在安全敏感路径里审查这一步是否引入了不希望出现的分支。

用比较结果选择已经算好的整数

常见用法是先得到两个候选结果，再让 ConstantTimeSelect 负责选出其中一个。这样读代码时，选择条件、候选值和最终结果都很清楚，也方便把边界测试写在同一层。

func limitForRole(role, privileged int32) int {
	// 1 表示角色匹配，0 表示不匹配；不要传入原始业务枚举。
	v := subtle.ConstantTimeEq(role, privileged)
	standardLimit := 10
	privilegedLimit := 100
	// 相等时选择更大的额度，否则使用普通额度。
	return subtle.ConstantTimeSelect(v, privilegedLimit, standardLimit)
}

这段代码表达的是“从两个已知整数里选择”，不是“让任意业务流程都变成密码学安全流程”。如果选择结果会进一步影响错误信息、数据库查询、缓存键或响应长度，后续路径仍然可能泄露输入相关差异。

别把它当成惰性 if

Go 的函数参数会在进入函数前求值，所以两个候选表达式都会先执行。下面的写法不能让其中一个计算自动跳过：

// 先计算两个候选值，再做一次整数选择。
left := calculateLeft(secret)
right := calculateRight(secret)
result := subtle.ConstantTimeSelect(v, left, right)

与其把复杂函数调用直接塞进参数，不如像上面这样拆开，并检查两个计算是否都具有可接受的时间、内存访问和错误处理特征。ConstantTimeSelect 也不负责处理错误；如果某个候选计算失败，应该在进入选择层前决定业务如何终止，而不是用一个默认整数掩盖失败。

用边界测试确认选择逻辑

测试至少覆盖合法的两个控制值，并单独记录非法值不在 API 契约内。不要为了“测出一个结果”把非法输入写成业务功能；更稳妥的做法是让上游只产生 0/1，测试则验证这条约束不会被改坏。

func TestConstantTimeSelect(t *testing.T) {
	cases := []struct {
		name string
		v, x, y int
		want int
	}{
		{"choose-x", 1, 11, 22, 11},
		{"choose-y", 0, 11, 22, 22},
	}
	for _, tc := range cases {
		// 子测试名称让失败结果直接对应选择分支。
		t.Run(tc.name, func(t *testing.T) {
			if got := subtle.ConstantTimeSelect(tc.v, tc.x, tc.y); got != tc.want {
				t.Fatalf("got %d, want %d", got, tc.want)
			}
		})
	}
}

最后再强调一次：这个 API 的价值是提供一个明确的整数选择原语，而不是给整段代码贴上“常量时间”标签。真正涉及密钥或秘密数据时，还要结合官方密码学包的使用方式、编译目标和数据访问路径做整体审查。

常见问题

ConstantTimeSelect 的 v 可以传 2 吗？

不可以。文档只定义了 0 和 1，其他值行为未定义。请在上游用返回 0/1 的比较函数生成 v。

它能替代所有 if 分支吗？

不能。它只返回两个整数中的一个，且两个参数在调用前都会求值；错误处理、内存访问和后续分支仍需单独设计。

x 和 y 哪个是“真”分支？

当 v 为 1 时返回 x，当 v 为 0 时返回 y。建议使用 selected、fallback 这类名字，让这个顺序在代码审查中一眼可见。