在密码学实现中，时序攻击是常见侧信道威胁，依赖私钥或秘密输入的条件分支、内存访问或算术运算可能引入执行时间差异，导致信息泄露。传统应对依赖开发者手动编写常量时间代码，如使用掩码选择代替分支，但 LLVM 等编译器优化往往破坏这些努力，例如将掩码运算优化为分支指令。为系统解决此问题，LLVM 引入常量时间（constant-time）IR 属性，允许前端标记敏感代码路径，后端 Pass 确保优化过程尊重该属性，避免引入泄漏。
核心观点是：常量时间属性应在 IR 层面传播，并通过专用 Pass 检测潜在泄漏、调整代码生成，并在编译流水线末尾验证。Trail of Bits 等安全团队推动此功能落地，针对 Rust 等依赖 LLVM 的语言，提供原生支持而非 hack 如 subtle crate 的 black_box。属性标记如 !ct 注解函数或指令，指示编译器：禁止基于秘密的控制流变异、内存访问模式依赖、或引入可观测时间差异的优化。
证据显示，此机制已在 LLVM 主线提案中，涉及多个后端 Pass。第一，属性传播 Pass（如 FunctionAttrsPropagation）在优化管线中向上/向下传播 ct 标记，确保嵌套调用继承敏感性。例如，ct 函数调用 ct 子函数时，自动注入屏障防止优化穿透。第二，泄漏检测 Pass（如 TimingLeakDetector）静态分析 IR，识别秘密依赖的分支（icmp/select）和间接内存访问（load/store via GEP），报告潜在泄漏路径。检测阈值设为秘密位宽 > 0 时触发警报。
第三，代码生成缓解 Pass（如 CryptoCodegenMitigator）针对后端调整：x86 用 cmov/blend 代替 jcc；ARM 用 csel；禁用向量化秘密运算；内存访问用常量步长或随机化置换。参数示例：在 SelectionDAG 中，ct 节点优先选择固定延迟指令集，阈值延迟变异 < 1 周期/位。验证 Pass（如 CtVerifier）在 llc 前运行全流水线仿真，检查生成汇编的时序一致性，使用模拟器如 QEMU 测量 1000 次运行 stddev < 5%。
落地参数与清单：1. 属性语法：attributes #0 = { "constant-time"="true" } 于函数；指令级 !ct metadata。2. Pass 管道集成：opt -passes='ct-propagate,timing-detect,mitigate-codegen,verify-ct,default'。阈值：泄漏分数 > 0.1 拒绝编译；验证采样 2^10 输入。3. 监控点：LLVM_DEBUG 输出 ct 违反计数；后端统计 cmov 使用率 > 90%；CI 流水线强制 -verify-ct。回滚策略：若验证失败，降级至 -O0 或注入 barrier。
风险包括属性开销（5-15% 性能）和不完整覆盖（如浮点运算），限制造成依赖后端实现一致性。工程中，从标记 crypto lib（如 libsodium）开始，渐进验证 pipeline。
资料来源：Trail of Bits 博客《Constant-Time Support Coming to LLVM》；Rust subtle crate 文档；LLVM Discourse 常量时间 RFC 讨论。