將hexdigest（）的結果與字符串進行比較

Question

我已經生成了一個MD5哈希，我想將它與來自字符串的另一個MD5哈希進行比較。下面的陳述是錯誤的，儘管它們在打印時看起來是一樣的，應該是真實的。

hashlib.md5("foo").hexdigest() == "acbd18db4cc2f85cedef654fccc4a4d8" 

谷歌告訴我，我應該在結果從hexdigest()編碼，因爲它不返回一個字符串。但是，下面的代碼似乎也不工作。

hashlib.md5("foo").hexdigest().encode("utf-8") == "foo".encode("utf-8") 

Answer 1

的Python 2.7，.hexdigest（）確實返回一個STR

>>> hashlib.md5("foo").hexdigest() == "acbd18db4cc2f85cedef654fccc4a4d8" 
True 
>>> type(hashlib.md5("foo").hexdigest()) 
<type 'str'> 

的Python 3.1

.md5（）不採取一個unicode（其中 「foo」 的是），因此，需要被編碼爲一個字節流。

>>> hashlib.md5("foo").hexdigest() 
Traceback (most recent call last): 
    File "<pyshell#1>", line 1, in <module> 
    hashlib.md5("foo").hexdigest() 
TypeError: Unicode-objects must be encoded before hashing 

>>> hashlib.md5("foo".encode("utf8")).hexdigest() 
'acbd18db4cc2f85cedef654fccc4a4d8' 

>>> hashlib.md5("foo".encode("utf8")).hexdigest() == 'acbd18db4cc2f85cedef654fccc4a4d8' 
True 

Answer 2

hexdigest returns a string。你的第一條語句在python-2.x中返回True。

在python-3.x中，您需要將參數編碼爲md5函數，在這種情況下，等於也是True。沒有編碼它會提高TypeError。

Answer 3

將==用於哈希比較可能是一個安全漏洞。

https://groups.google.com/forum/?fromgroups=#!topic/keyczar-discuss/VXHsoJSLKhM

這有可能讓攻擊者尋找時間性差異，並通過密鑰空間有效地迭代，並發現，將通過平等的測試值。