该论文是一篇系统化知识（SoK）研究，聚焦于密码学实现中的常数时间编程模式——这是抵御计时攻击的主要防御手段。然而，学术界和工业界对“常数时间”的定义并不统一，导致模型保护范围与规格假设之间长期存在脱节。论文系统梳理了常数时间模型的演变，识别出一个反复出现的缺口：模型所保护的属性并不总能覆盖规格中隐含的安全要求。作者进一步提炼出一套攻击性方法论，用于发现源自密码学原语边界之外的计时漏洞。应用该方法，他们定位到一个与私钥加载相关的规格级漏洞，并在OpenSSL和BoringSSL中实际确认了该信息泄露。反直觉的是，尽管BoringSSL采用了更严格的安全威胁模型，其每个观测的信号强度反而比OpenSSL高出多个数量级。该贡献不仅揭示了常数时间建模中的盲区，还展示了规范层面缺陷如何绕过实现层的防护。适合密码学库开发者、安全研究者和系统安全分析师阅读。

这篇论文以加密库开发者对时序攻击（timing attacks）的认知与态度为研究对象，采用访谈或问卷等实证方法，收集了多位主流加密库（如 OpenSSL、libsodium 等）维护者的第一手观点。核心问题是：为什么时序攻击在理论上广为人知，但在实际加密库开发中仍频繁出现缓解不足或错误实现？研究发现，开发者普遍认为时序攻击“并不那么难以缓解”，但实际操作中面临测试工具缺乏、性能与安全权衡、底层硬件复杂性、以及API设计难以引导安全使用等结构性障碍。论文提出了一套面向加密库开发者的“心智模型”分类，区分了不同开发者对时序风险的感知精度与缓解经验，并揭示了团队协作、代码审查、标准化测试在时序安全实践中的真实作用。主要贡献包括：首次系统化记录加密库开发者对时序攻击的集体认知、识别出安全建议在实际工程落地时的断裂带、并提出了改进密码学库安全工程实践的具体建议，如更智能的测试夹具、对常数时间代码的自动化检查工具，以及更清晰的文档指引。适合密码学库维护者、安全工具开发者、以及研究开发者安全行为与可用安全的学者阅读。