Node.js 计算服务器与客户端时间差：直接对减时间戳是否安全？受时区影响吗？

• 从纯数值运算逻辑上，Date.now() - 客户端发送的时间戳确实可以算出两个时间节点的毫秒级差值，但这个结果没法直接等同于客户端与服务器的真实时钟偏差，计算过程存在可靠性缺陷，且完全不会受不同设备的时区差异影响。

两类时间API的本质 #

不管是客户端执行的new Date().getTime()，还是服务端执行的Date.now()，返回值的定义是完全统一的：以1970年1月1日UTC标准零点为起点，累计到当前时刻的毫秒数，本身不携带任何设备本地的时区、夏令时规则、本地时间格式这类配置信息。

为什么不能直接靠这个方法算两端的真实时钟差？ #

这套减法的运算是完全成立的，但最终得到的差值其实混了两部分不可忽略的成分：

• 客户端时钟和服务端时钟本身存在的固有偏差
• 客户端生成时间戳后，请求经过网络传输到达服务端的单向网络延迟

可以举个很直观的例子：

假设客户端时钟比服务端慢100ms，当客户端生成待发送的时间戳时，对应的服务端时刻是100000ms，客户端此时的本地时钟计算出的时间值是99900ms。客户端把时间戳打包发出去，请求经过50ms的网络传输才抵达服务端，这时候服务端执行Date.now()拿到的当前时间是100050ms。套入公式算出来的差值是100050 - 99900 = 150ms，但两端的真实时钟偏差只有100ms，剩下的50ms完全是网络传输带来的额外误差。

也就是说，如果你的业务目标只是计算“从客户端生成这个时间戳，到服务端接收完成一共过去了多久”，这套算法是完全正确的；但如果你想靠这个简单减法算出“客户端时钟比服务端快/慢多少”，得到的结果会因为网络延迟存在明显偏差，网络越不稳定，这个误差就越大。

这套计算方式的可靠性与安全问题 #

• 没有内置校验机制的情况下，时间戳是客户端可以随意构造、篡改的字段。如果直接基于计算出来的差值做接口权限、内容有效期、操作时效校验之类的逻辑，恶意用户可以通过伪造时间戳的方式绕过限制，存在明显的安全风险。
• 网络延迟带来的固定误差，会让对精度要求较高的跨端时间同步场景没法满足要求，比如毫秒级的操作防重、时间敏感的业务判断，靠这套简单减法得到的结果偏差太大，没法直接用。

时区差异会对计算结果产生影响吗？ #

完全不会。

因为两类API返回的都是UTC基准的绝对时间数值，和设备所在的时区没有任何绑定关系。哪怕客户端在东八区、服务器在西五区，只要两个设备处于同一个物理时刻，各自执行时间API得到的毫秒数本质是完全相等的——大家只是把同一个UTC时刻，按照本地所在时区转换成了不同的展示格式而已，底层用来计算差值的累计毫秒数没有任何区别。
所以不管两端设备的时区配置差多少，这套减法运算的结果都不会被时区配置干扰。

内容的提问来源于stack exchange，提问作者Majed Badawi