本文是一项针对扩展现实（XR）应用开发者的安全与隐私威胁认知研究，属于人因安全与隐私领域。XR 的沉浸式特性带来了传统范式难以缓解的全新安全与隐私挑战，例如丰富的传感器数据采集、用户生成内容接口等。开发者作为 XR 应用的主要构建者，其威胁认知与应对能力对缓解这些风险至关重要，然而目前缺乏从开发者视角出发的、威胁感知式的深入研究。为填补这一空白，作者对 23 名专业 XR 开发者进行了半结构化访谈，聚焦 XR 中的新兴威胁，回答两个研究问题：其一，开发者如何感知 XR 中的安全与隐私威胁；其二，开发过程中的哪些决策会放大威胁，以及现有的缓解方法、战略、技术和沟通支持存在哪些不足。主要发现包括：(1) XR 开发决策（如富传感器数据收集、用户生成内容接口）与安全隐私威胁紧密相关并可能放大威胁，但开发者往往意识不到这些风险，导致威胁感知存在认知偏差；(2) 现有缓解方法的局限性，加上战略、技术和沟通支持的不足，削弱了开发者有效应对威胁的动力、意识和能力。基于发现，作者提出了可操作且面向利益相关者的建议，以在整个 XR 开发流程中改进安全与隐私。本文是首次在 XR 领域开展的威胁感知、以开发者为中心的研究，其贡献在于系统性识别了开发者认知缺口和结构性障碍，并为后续工具、框架和培训设计提供了实证基础。适合 XR 平台开发者、安全工程师、隐私设计者以及研究人因安全的人员阅读。

这篇论文以加密库开发者对时序攻击（timing attacks）的认知与态度为研究对象，采用访谈或问卷等实证方法，收集了多位主流加密库（如 OpenSSL、libsodium 等）维护者的第一手观点。核心问题是：为什么时序攻击在理论上广为人知，但在实际加密库开发中仍频繁出现缓解不足或错误实现？研究发现，开发者普遍认为时序攻击“并不那么难以缓解”，但实际操作中面临测试工具缺乏、性能与安全权衡、底层硬件复杂性、以及API设计难以引导安全使用等结构性障碍。论文提出了一套面向加密库开发者的“心智模型”分类，区分了不同开发者对时序风险的感知精度与缓解经验，并揭示了团队协作、代码审查、标准化测试在时序安全实践中的真实作用。主要贡献包括：首次系统化记录加密库开发者对时序攻击的集体认知、识别出安全建议在实际工程落地时的断裂带、并提出了改进密码学库安全工程实践的具体建议，如更智能的测试夹具、对常数时间代码的自动化检查工具，以及更清晰的文档指引。适合密码学库维护者、安全工具开发者、以及研究开发者安全行为与可用安全的学者阅读。