Function verify_header_mac 

pub fn verify_header_mac(
    mac_key: &SecretKey,
    covered: &[u8],
    expected: &[u8; 32],
) -> bool

以常量时间验证头部 MAC。

使用常量时间比较避免时序侧信道泄露 MAC 的正确前缀长度。