RC4初始化时密钥为空或全\0会导致无限循环和崩溃，必须校验key非空且长度限1–256字节；加解密需重置S盒状态；二进制数据须用data()/size()而非c_str()；RC4已不安全，生产环境应使用AES-GCM等现代算法。
RC4初始化时key长度不匹配会直接崩溃
RC4的S盒初始化依赖密钥字节流，如果传入空字符串或仅含
RC4的S盒初始化依赖密钥字节流，如果传入空字符串或仅含\0的std::string，RC4::init()里遍历key.length()时会进入无限循环（i递增但j卡在0），最终触发栈溢出或SIGSEGV。实际使用前必须校验：
if (key.empty()) throw std::invalid_argument("RC4 key cannot be empty");更稳妥的做法是限制key长度在1–256字节之间——过短安全性差，过长在KSA阶段浪费CPU且无实质增益。的std::string，RC4::init()里遍历key.length()时会进入无限循环（i递增但j卡在0），最终触发栈溢出或SIGSEGV。实际使用前必须校验：if (key.empty()) throw std::invalid_argument("RC4 key cannot be empty");更稳妥的做法是限制key长度在1–256字节之间——过短安全性差，过长在KSA阶段浪费CPU且无实质增益。
加密解密用同一函数但必须复位S盒状态
RC4是流密码，加解密逻辑完全相同，但若对同一RC4实例连续调用encrypt()两次，第二次输出的是乱码。因为S盒和内部指针i、j在首次加密后已偏移。正确做法是每次加解密前重置状态：
rc4.init(key); // 必须重新初始化 auto cipher = rc4.encrypt(plain);或者把
RC4设计成无状态类，让encrypt()内部自动调用init()——但要注意这会牺牲性能，频繁加密小数据时建议复用实例并手动管理状态。
std::string二进制数据不能直接用c_str()转char*
RC4输出可能含\0字节，用std::string::c_str()获取指针再传给C接口（如写文件、网络发送）会导致截断。必须用data()配合size()：
std::string cipher = rc4.encrypt(plain); write(fd, cipher.data(), cipher.size()); // 正确 // write(fd, cipher.c_str(), cipher.size()); // 错误：c_str()遇\0终止同理，解密时输入也必须是完整字节流，不能从C风格字符串构造
std::string，否则丢失后续字节。
RC4已不安全，生产环境请用AES-GCM
RC4存在偏置漏洞（如首字节可预测）、密钥调度缺陷，TLS 1.2已弃用，Wi-Fi WEP破解就源于此。哪怕只是做本地配置文件混淆，也建议改用openssl的EVP_aes_128_gcm或libsodium的crypto_aead_chacha20poly1305_encrypt()。RC4示例仅适合教学或遗留系统兼容——真要用，至少禁用前256字节输出（discard(256)），但这仍无法修复根本缺陷。
