Go crypto/subtle.ConstantTimeCopy 怎样按条件覆盖定长缓冲区

Go 的 crypto/subtle.ConstantTimeCopy 适合在两个长度相等的字节缓冲区之间做条件覆盖：v == 1 时把 y 的内容写入 x，v == 0 时保持 x 不变。它不是带长度自适应的 copy 替代品，v 取其他值时行为未定义。

官方地址：https://pkg.go.dev/crypto/subtle#ConstantTimeCopy

实战中先固定缓冲区长度，再把业务判断整理成 0 或 1，最后调用 ConstantTimeCopy。长度检查、候选缓冲区准备和结果解释都应放在调用边界内。

ConstantTimeCopy 的三个参数分别控制什么

函数签名是 subtle.ConstantTimeCopy(v int, x, y []byte)。x 是可能被覆盖的目标，y 是候选内容，二者必须等长。v 为 1 才复制，为 0 则不改变目标；函数没有返回值，因此调用后直接读取 x。

先固定长度，再把判断结果变成 0 或 1

不要先把它当成普通字节复制，再临时猜测长度行为。更稳妥的封装会先拒绝长度不等的输入，并把布尔判断明确映射为 0/1。下面的示例用目标缓冲区承载默认值，只有 take 为真时才覆盖它：

package main

import (
    "errors"
    "crypto/subtle"
)

func conditionalCopy(dst, candidate []byte, take bool) error {
    // ConstantTimeCopy 要求两个切片等长，先在调用边界报告输入错误。
    if len(dst) != len(candidate) {
        return errors.New("缓冲区长度不一致")
    }

    flag := 0
    if take {
        // 只把合法的 0/1 控制值交给 crypto/subtle。
        flag = 1
    }
    // flag 为 1 覆盖 dst，为 0 保留 dst 的原内容。
    subtle.ConstantTimeCopy(flag, dst, candidate)
    return nil
}

如果 dst 原来是默认结果，take=false 时它仍是默认结果；take=true 时才换成候选值。这个模式的重点是“准备好两个同长度缓冲区”，而不是让函数替你处理变长输入。

边界条件：长度、别名和控制值不能含糊

长度不等时不要依赖内部行为。官方文档把 x 和 y 描述为等长切片；在业务层返回错误或统一准备固定长度摘要，比把不同长度数据直接塞进来更清楚。

切片也不要随意重叠。最简单的工程约定是让 dst 和候选值来自独立的固定数组；如果两者来自同一底层数组，先确认切片范围不会让候选内容在覆盖过程中被改变。空切片虽然长度相等，但复制不会产生可观察的内容变化，不能把它当成“已经写入有效结果”。

控制值只允许 0 和 1。不要把业务状态码、枚举值或未初始化整数直接传给 ConstantTimeCopy；如果需要从比较函数得到控制值，应先确认返回语义，再明确写出映射。

它和普通 copy、ConstantTimeCompare 有什么区别

copy(dst, src) 是通用切片复制，返回实际写入长度，适合普通数据搬运；ConstantTimeCopy 是无返回值的条件覆盖原语，调用者必须保证等长和合法控制值。二者的目标不同，不要仅因为名字相似就替换。

ConstantTimeCompare 比较的是两个字节切片是否相等，返回 0 或 1；ConstantTimeCopy 则根据 0/1 决定是否覆盖目标。前者输出判断结果，后者改变已有缓冲区。它们都要求调用者先弄清长度与敏感数据边界，不能代替完整的协议校验。

常见问题

v 传 2 会怎样？官方文档明确说明，v 不是 0 或 1 时行为未定义，应在进入函数前收敛控制值。

长度不等能不能让它只复制较短部分？不能。需要按较短长度复制时使用普通 copy；需要保持密码学边界时，应先构造固定长度数据。

什么时候根本不该用它？只是搬运普通业务字节时，copy 更直观；只有确实需要“按 0/1 条件覆盖固定缓冲区”的场景，才值得引入 crypto/subtle。