XOR加密本质是利用异或运算的可逆性（a^b^b==a）进行数据混淆，非真正加密算法；它不抗统计分析和已知明文攻击，仅适用于临时遮掩或教学；实现时须用unsigned char处理字节并以密钥长度取模循环。
什么是 XOR 加密的本质
XOR 加密不是真正意义上的加密算法，它只是利用 ^（异或）运算的可逆性做数据混淆。关键在于：a ^ b ^ b == a，所以用同一密钥反复异或就能加解密。它不防统计分析、不抗已知明文攻击，只适合临时遮掩或教学演示。
用 std::string 实现单字节密钥 XOR 加解密
最常见错误是把密钥当字符串直接循环使用，却忽略空字符 '\0' 导致 std::string::c_str() 提前截断；另一坑是未考虑输入含非 ASCII 字节时，char 有符号性引发高位扩展（如 (signed char)0xFF ^ 0x01 变成 -1 ^ 1，结果意外）。
正确做法：统一用 unsigned char 处理字节，密钥按长度取模循环：
std::string xor_encrypt_decrypt(const std::string& data, const std::string& key) {
if (key.empty()) return data;
std::string result = data;
for (size_t i = 0; i < data.size(); ++i) {
unsigned char byte = static_cast<unsigned char>(data[i]);
unsigned char k = static_cast<unsigned char>(key[i % key.size()]);
result[i] = static_cast<char>(byte ^ k);
}
return result;
}
调用示例：
立即学习“C++免费学习笔记（深入）”；
std::string plain = "Hello, world!"; std::string key = "K"; std::string cipher = xor_encrypt_decrypt(plain, key); // 得到乱码二进制串 std::string restored = xor_encrypt_decrypt(cipher, key); // 恢复为 "Hello, world!"
多字节密钥与避免明文泄露风险
用固定字符串如 "KEY" 当密钥看似增强，实则只要明文开头已知（比如 HTTP 请求以 "GET " 开头），攻击者立刻能反推密钥前 4 字节：cipher[0] ^ 'G'、cipher[1] ^ 'E'……进而解出全部内容。
若真要提升安全性（仍属玩具级），至少做到：
- 密钥长度 ≥ 明文长度（即“一次一密”原则），但需安全分发密钥
- 密钥本身由 CSPRNG 生成，不用硬编码字符串
- 加密后数据不能以文本形式打印或记录——
std::string可能含\0或控制字符，std::cout 会提前终止
实际调试时，建议用十六进制打印：
for (unsigned char c : cipher) {
std::cout << std::hex << std::setw(2) << std::setfill('0') << (int)c << " ";
}
为什么不能直接对 std::string 调用 ^ 运算符
std::string 没有重载 ^ 运算符，C++ 不允许对类类型隐式转为字节数组再逐位异或。有人误写 str1 ^ str2 会编译失败；也有人试图用 reinterpret_cast 强转指针去操作内存，这在小端/大端、对齐、string 的 SSO（短字符串优化）实现下极易崩溃或读越界。
必须显式遍历每个字节，且确保访问的是真实数据起始地址：&data[0] 或 data.data()（C++11 起保证返回连续内存）。
SSO 特别容易被忽略：短字符串（如小于 15 字节）可能不堆分配，但 data.data() 依然有效；而直接取 &data[0] 在空字符串时是未定义行为，应先判空。
