异或加密仅能临时遮掩且密钥泄露即失效；std::string加密须用unsigned char避免符号扩展，否则UTF-8中文等高位字节会因char有符号性导致提升为负数，引发加密错乱、长度突变或空字符截断。
不能保护，只能临时遮掩；混淆后仍可被还原，且密钥泄露即全盘失效。
std::string 异或加密必须用 unsigned char 避免符号扩展
Windows MSVC 或某些嵌入式平台默认 char 是有符号类型。当字符串含 UTF-8 中文、二进制数据等高位为 1 的字节时，s[i] 会被提升为负数 int，再参与 ^ 运算，结果错乱——比如加密后长度突变、解密错位、出现空字符截断。
正确做法是显式转成无符号类型：
for (size_t i = 0; i < s.size(); ++i) {
s[i] = static_cast<unsigned char>(s[i]) ^ static_cast<unsigned char>(key[i % key.size()]);
}
-
key.empty()必须提前检查并拒绝，否则i % 0触发除零崩溃 -
s.empty()可直接跳过循环，无需处理 - 密钥中允许含
'\0'，std::string支持内部 null，不影响索引取模
密钥长度选 2 的幂能提升 cache 局部性
循环取模 i % key.size() 在密钥长度非 2 的幂时，编译器无法优化为位与 &，频繁随机访问密钥字节易引发 cache miss。尤其当密钥未驻留 L1 cache、原始字符串跨内存页时，性能下降明显。
- 推荐密钥长度设为
8、16或32 - 若密钥来自配置或环境变量，需在加载后校验长度并做对齐（如不足则补
'\x00'，过长则截断） - 不要用
std::string::c_str()后强制转char*去改——那是只读内存，触发未定义行为
异或不是脱敏，上线前必须替换为不可逆方案
异或本质是线性可逆变换：(data ^ key) ^ key == data。它不满足合规脱敏要求：不可逆、抗重放、带盐值。日志打码、数据库字段掩码等场景，必须换真实脱敏逻辑。
- 手机号：用
s.substr(0, 3) + "***" + s.substr(7) - 身份证号：哈希后截断，如
std::hash<:string>{}(id).load() & 0xFFFFFFF</:string> - 密码类字段：必须用
bcrypt或scrypt，绝不可用异或 - 若仅用于开发调试，代码里必须加注释：
// WARNING: XOR only for dev, never ship
最容易被忽略的是符号扩展和密钥生命周期——前者导致加密结果在不同平台不一致，后者让“临时混淆”变成生产隐患。真要保护内存字符串，优先考虑 OS 级内存保护（如 mprotect + MAP_ANONYMOUS）或专用安全库的加密内存区，而不是靠 ^。
