Go crypto/subtle.ConstantTimeLessOrEq 怎样判断非负整数范围

我第一次把 crypto/subtle 放进业务代码时，最容易误解的是函数名：ConstantTimeLessOrEq 不是“更安全的通用小于等于”，而是给常量时间代码准备的受限比较函数。它只接受非负、且不超过 2^31-1 的 int；满足 x 时返回 1，否则返回 0。

官方资料：https://pkg.go.dev/crypto/subtle#ConstantTimeLessOrEq

实战上可以把它记成三件事：先把输入收进合法范围，再读取 0/1 结果，最后明确转换为业务需要的布尔值或选择结果。普通排序、分页和一般数值判断仍然优先使用普通的 。

我第一次踩坑：它不是通用排序函数

ConstantTimeLessOrEq 的参数类型是两个 int，但文档对输入范围有明确限制。负数，或者大于 2^31-1 的值，都不属于它的安全使用范围；这不是“结果可能不符合预期”这么简单，而是不能把函数当作普通比较器来用。

我现在会把范围约束放在调用边界，避免让不合法的值进入密码学相关分支：

package main

import "crypto/subtle"

const maxConstantTimeInt = 1 maxConstantTimeInt || limit > maxConstantTimeInt {
		return false
	}
	// 函数返回 1 或 0，这里只把结果转换成业务布尔值。
	return subtle.ConstantTimeLessOrEq(value, limit) == 1
}

把输入收进可证明的范围

范围检查和常量时间比较是两层职责。前一层回答“输入是否满足函数契约”，后一层回答“两个合法非负整数是否满足小于等于关系”。不要为了追求“全程常量时间”而省略契约检查；如果输入来自请求、文件或反序列化结果，负数和超大值都应该在边界处被拒绝。

这里还有一个容易混淆的点：int 在不同平台上的位宽可能不同，但函数文档给出的上限仍然是 2^31-1。因此，不能看到当前机器是 64 位，就把更大的 int 直接传进去。

0/1 返回值要主动转换

这个函数返回的是 int，不是 bool。直接把它散落在多处判断里，后面很容易把“相等”“不相等”和“选哪个结果”混在一起。更稳妥的做法是集中封装：

func chooseLimit(value, limit int, okValue, fallback int) int {
	// 先把业务输入限制在 ConstantTimeLessOrEq 的合法范围。
	if value  maxConstantTimeInt || limit > maxConstantTimeInt {
		return fallback
	}
	matched := subtle.ConstantTimeLessOrEq(value, limit)
	// 只接受文档定义的 0/1 结果，再转换成普通业务值。
	if matched == 1 {
		return okValue
	}
	return fallback
}

如果代码本身是在处理密码学协议或秘密相关分支，仍要单独审查整个分支是否泄露了不该暴露的信息；一个常量时间比较函数不会自动让周围的解析、错误返回和日志都变成常量时间。

什么时候选择 ConstantTimeLessOrEq

我会用下面这张速查表做决定：

换句话说，函数名里的“constant time”是选型提示，不是业务需求的替代品。只有当输入类型、范围和周围逻辑都匹配时，它才值得被引入。

常见疑问

可以传负数吗？

不应该。文档只为非负输入定义了它的行为；应在调用前拒绝负数，而不是把返回值当作普通比较结果。

为什么不直接返回 bool？

该包的常量时间函数统一使用整数结果，便于继续参与常量时间选择逻辑。业务层可以在边界清晰的位置把 1 转为 true，不要让这种转换散落在各处。

最后可以用一句话收束：普通数字判断用 ，字节内容比较用 ConstantTimeCompare，只有合法的非负整数常量时间分支才考虑 ConstantTimeLessOrEq。