标准的字符串相等比较（===）会逐字符检查，一旦发现不匹配就立即返回false，攻击者可以通过测量响应时间的微小差异（微秒级）来逐字符猜测正确的签名。